Leverer jeres virksomhed administrerede tjenester, cloud eller datacentertjenester, måles en NIS2-audit efter bilaget til gennemførelsesforordning (EU) 2024/2690. Det gælder hele CVR-nummeret, også når tjenesten er en lille del af forretningen.
For en udbyder betyder det et andet auditprogram end hos en fødevareproducent eller et rederi. Kriterierne er mere detaljerede, flere punkter har faste intervaller, og ordlyden kommer fra en EU-retsakt, der gælder direkte. Denne artikel forklarer, hvem der er omfattet, hvad forordningen erstatter, og hvad loven stadig styrer.
Hvem forordningen gælder for
Forordningens artikel 1 nævner de enheder, den gælder for. Det er DNS-tjenesteudbydere, topdomænenavneadministratorer og udbydere af cloudcomputingtjenester, datacentertjenester, indholdsleveringsnetværk, administrerede tjenester og administrerede sikkerhedstjenester. Hertil kommer onlinemarkedspladser, onlinesøgemaskiner, platforme for sociale netværkstjenester og tillidstjenester. Forordningen kalder dem samlet de relevante enheder.
Digitaliseringsstyrelsen er kompetent myndighed for dem efter bekendtgørelse nr. 620 af 2. juni 2025, § 6. Begreberne administreret tjeneste, cloudcomputingtjeneste og datacentertjeneste er defineret i NIS 2-lovens § 3.
Webhosting står ikke på listen. Digitaliseringsstyrelsens FAQ siger, at webhosting-tjenester ikke er omfattet af NIS 2-loven, men at mange webhostingudbydere også leverer cloud- eller datacentertjenester, som er. Det er derfor tjenestelisten og ikke ordet “hosting” på hjemmesiden, der afgør sagen.
Domænenavnsregistratorer har deres egne regler i lovens § 11 og bekendtgørelse nr. 653. De står i artiklen om domænenavnsregistrering.
Hele CVR-nummeret er med
Digitaliseringsstyrelsen skriver, at hvis en enhed leverer en tjeneste, der er omfattet af forordningen, er hele enheden (CVR-nummeret) underlagt reglerne, også hvis tjenesten kun er en mindre biaktivitet. Et tænkt eksempel er en revisionsvirksomhed, der driver servere for tre kunder som en sidegesjæft. Hele selskabet måles så efter bilaget, også bogholderiet og receptionens pc’er.
Hos styrelsen tæller hvert CVR-nummer som en enhed for sig, så to selskaber i samme koncern er to enheder. Hvornår en koncerns fælles IT-afdeling selv er udbyder, står i når koncernens IT-selskab selv er udbyder.
Hvad forordningen erstatter
Digitaliseringsstyrelsen skriver på sin side om kravene, at disse enheder ikke er omfattet af lovens generelle krav til cybersikkerhedsforanstaltninger eller hændelsesrapportering, og at de i stedet skal følge forordningen.
Den sætning er forenklet. Samme styrelses FAQ siger, at lovens § 12 fortsat er relevant, fordi forordningen alene præciserer, hvad der forstås ved en væsentlig hændelse, og at enheder under dansk jurisdiktion underretter efter §§ 12 og 13. Læst sammen betyder det, at forordningen afgør, hvornår en hændelse er væsentlig, mens underretningen og fristerne følger loven. Det er en sammenlæsning af styrelsens to tekster og ikke en afgørelse fra myndigheden.
Leverer enheden også en tjeneste i en anden NIS 2-sektor, skal den efter FAQ’en leve op til alle fastsatte relevante krav, og forordningens bestemmelser må anses som minimumskrav.
Cloud bygget på andres cloud
Mange tjenester kører på cloudelementer fra en tredjepart. Efter styrelsens vurdering er sådan en tjeneste ikke automatisk en cloudcomputingtjeneste. Styrelsen nævner tre forhold, der indgår: formål og funktioner, graden af integration og brugerens kontrol med cloudelementerne. Der er endnu ikke fast praksis.
For auditten betyder det, at vurderingen af, om virksomheden er omfattet, skal ligge skriftligt og være begrundet med de tre forhold. Auditor kan efterprøve, at vurderingen er foretaget og fulgt. Auditor kan ikke give et bindende svar på, om tjenesten er omfattet.
Sådan ændrer det auditten
Bilaget har 13 punkter, der udfylder direktivets liste over foranstaltninger. Auditten måler mod dem i stedet for mod Styrelsen for Samfundssikkerheds vejledning om § 6. Det er en praktisk følge af reglerne, og forordningen siger det ikke med de ord.
Bilaget lader som regel enheden selv planlægge, hvor tit et punkt tages op, og kræver en ekstra runde efter store hændelser og ændringer. Tre steder står intervallet fast. Politikken for sikkerhed skal efter punkt 1.1.2 have en gennemgang hvert år. Det samme gælder risikovurderingen og behandlingsplanen (punkt 2.1.4). Forekomsten af tilbagevendende hændelser vurderes hvert kvartal (punkt 3.4.2, litra b).
Digitaliseringsstyrelsens vejledningsskema er bygget på bilaget og kan bruges som udgangspunkt for programmet. Hvordan det bruges, står i vejledningsskemaet som auditprogram. Mange af bilagets krav gælder “hvor det er relevant”, og hvert fravalg skal begrundes. Det har sin egen artikel om begrundelserne efter artikel 2, stk. 2.
Hvad det kræver, og hvad det koster at lade være
Det første arbejde er en skriftlig vurdering af, hvilke tjenester der gør virksomheden til en relevant enhed, og en liste over de 13 punkter med en ansvarlig til hvert. Ledelsen og den, der kender tjenestekataloget, kan lave udkastet. Har I allerede målt jer efter lovens § 6, skal resultatet oversættes til bilagets punkter.
Uden den vurdering risikerer I at bruge forkerte kriterier. En audit efter den almindelige vejledning kan se pæn ud og alligevel overse de faste intervaller og de mere detaljerede krav, som tilsynet hos Digitaliseringsstyrelsen måler efter.
Det skal I lade være med
- At afgrænse auditten til den afdeling, der leverer tjenesten · hele CVR-nummeret er omfattet.
- At læse styrelsens side, som om underretningspligten er væk · fristerne følger fortsat lovens §§ 12 og 13.
- At kalde sig webhotel og stoppe der · cloud- og datacentertjenester ved siden af kan gøre jer omfattet.
Det skal auditten kunne vise
- ☐ En dateret og begrundet vurdering af, hvilke tjenester der er omfattet af forordningens artikel 1.
- ☐ For tjenester på tredjeparts cloud en vurdering af formål, integration og kontrol.
- ☐ Et auditprogram bygget på bilagets punkter 1 til 13 for hele CVR-nummeret.
- ☐ Dokumentation for de faste intervaller for politik, risikovurdering og gentagne hændelser.
- ☐ En underretningsprocedure, der bruger forordningens kriterier og lovens frister.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 1 og 2 og bilaget, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- Digitaliseringsstyrelsen, Hvilke krav skal man leve op til, hvis man er omfattet af NIS 2?, https://digst.dk/tilsyn/nis-2/hvad-er-kravene/, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, https://digst.dk/tilsyn/nis-2/faq-om-nis-2/, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 12 og 13, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 6, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres tjenester op, og sæt ud for hver af dem, om den står på forordningens liste i artikel 1, og hvorfor.
Læs også: Uafhængig gennemgang efter punkt 2.3 · Afgrænsning af NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
