En fødevarevirksomhed med engrosdistribution eller industriel produktion og tilvirkning hører under bilag 2 i NIS 2-loven, hvis den har den størrelse, loven kræver. Fødevarestyrelsen fører tilsyn og har lagt et selvevalueringsværktøj og et risikovurderingsværktøj ud, som kan være et udgangspunkt før en audit.
Artiklen gennemgår, hvordan styrelsen afgrænser sektoren, hvem den som udgangspunkt holder udenfor, og hvordan en audit kan bygge videre på styrelsens materiale.
Bilaget og styrelsens fortolkning
Bilag 2, pkt. 4, omfatter fødevarevirksomheder som defineret i forordning (EF) nr. 178/2002, artikel 3, nr. 2, der beskæftiger sig med engrosdistribution og industriel produktion og tilvirkning.
Fødevarestyrelsen fortolker kriterierne som alternative. Det er nok at opfylde ét af dem. Styrelsens begrundelse er, at bilaget henviser til forordningens definition, og at lovgiver ikke kan antages at have villet skabe et snævrere anvendelsesområde. Det er styrelsens fortolkning, og den står på styrelsens side.
Omfattede fødevarevirksomheder er vigtige enheder. Styrelsen skriver, at den senere vil udpege kritiske fødevarevirksomheder under CER-loven, og at de automatisk bliver væsentlige enheder. Vi har ikke kontrolleret, om udpegningen er sket. Forholdet mellem de to love er beskrevet i både NIS 2 og CER.
Som udgangspunkt ikke omfattet
Fødevarestyrelsen nævner tre grupper, der som udgangspunkt ikke er omfattet:
- rene transportvirksomheder uden ejerskab eller juridisk kontrol over fødevarerne,
- virksomheder, der alene arbejder med fødevarekontaktmaterialer, og
- virksomheder med animalske biprodukter.
Styrelsen understreger, at virksomheden selv skal vurdere, om den er omfattet. Størrelsesgrænserne står i lovens § 5. Styrelsens side gengiver dem i kroner; vi henviser til loven.
Hele virksomheden er med
Fødevarestyrelsen skriver, at hele enheden er omfattet, også systemer uden for den aktivitet, der gør virksomheden omfattet, og at foranstaltningerne skal afspejle de konkrete risici. En fødevareproducent med en webshop til forbrugere har altså også webshoppen med i auditten. Se hele CVR-nummeret er med.
Styrelsens værktøjer som første skridt
På sin side har Fødevarestyrelsen lagt to Excel-værktøjer: et til selvevaluering og et til risikovurdering. Ifølge siden bruges de til at kortlægge virksomhedens stade i forhold til de ti minimumskrav og til at vurdere risici. Vi har ikke åbnet filerne og beskriver ikke deres indhold.
Værktøjerne kan bruges, før en audit bestilles. En udfyldt selvevaluering giver auditor et billede af, hvor I selv mener, I står. Auditten kan så efterprøve svarene med bevis. Det er den rækkefølge, der er beskrevet i selvevaluering før NIS2-audit. Selvevalueringen er jeres egen påstand, og den skal underbygges.
Leverandørerne
Fødevarestyrelsen lister forventninger til styringen af leverandører: kriterier for valg af leverandør og kontraktpunkter, bl.a. om underretning om hændelser, ret til revision eller revisionsrapporter og forpligtelser ved ophør. Det kan bruges direkte som auditkriterium for jeres aftaler. Hvordan den del auditeres, står i audit af leverandørstyringen.
Det særlige ved fødevarer
Det følgende er praksis. Mange fødevarevirksomheder har køl, frys, styring af produktionslinjer og sporbarhedssystemer, der knytter sig til fødevaresikkerheden. Et nedbrud i temperaturovervågning eller sporbarhed kan få følger, der rækker ud over IT. Auditten bør derfor også se på, hvordan de systemer overvåges, hvem der har fjernadgang til dem, og hvordan driften fortsætter, hvis de svigter. Om styringsanlæg i auditten, se OT i NIS2-auditten.
Engroshandel uden egen produktion
En fødevaregrossist kan være omfattet alene på grund af engrosdistributionen, hvis man følger styrelsens fortolkning af kriterierne som alternative. Det følgende er praksis. For en grossist ligger vægten i auditten typisk på ordre- og lagersystemer, kølekæden, transportplanlægning og udvekslingen af data med kunder og leverandører. Er transporten lagt ud til en vognmand, der ikke ejer varerne, er vognmanden som udgangspunkt ikke omfattet ifølge styrelsen. Jeres aftale med vognmanden er dog stadig en del af jeres egen leverandørstyring.
Når virksomheden bliver udpeget efter CER-loven
Bliver en fødevarevirksomhed identificeret som kritisk enhed efter CER-loven, bliver den væsentlig enhed efter NIS 2-lovens § 4, stk. 3, nr. 3, uanset størrelse. Det ændrer tilsynets form fra reaktivt til løbende. Hvad en audit kan nå i perioden efter en udpegning, står i udpeget som kritisk enhed.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver bilagets tekst, styrelsens fortolkning og jeres egne tal. Selvevalueringen kræver en person, der kender både drift og IT, og tid til at finde dokumentationen frem.
Springer I afgrænsningen over, risikerer I enten at overse, at I er omfattet, eller at bruge kræfter på et regelsæt, der ikke gælder jer. Begge dele kan undgås med en skriftlig vurdering.
Det skal I lade være med
- At bruge styrelsens størrelsesgrænser i kroner uden at tjekke loven · loven er grundlaget.
- At aflevere selvevalueringen som bevis · den skal underbygges.
- At gå ud fra, at transport eller emballage altid holder jer ude · styrelsen skriver “som udgangspunkt”.
Det skal auditten kunne vise
- ☐ En dateret note om, hvorvidt I er omfattet, der henviser til bilaget og til styrelsens fortolkning.
- ☐ En udfyldt selvevaluering og risikovurdering, hvis styrelsens værktøjer er brugt.
- ☐ Leverandøraftaler med punkter om hændelser, revision og ophør.
- ☐ Overvågning og kontinuitet for systemer, der knytter sig til fødevaresikkerheden.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 5 og bilag 2, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 13, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Fødevarestyrelsen, Kontrol af cybersikkerhed i fødevarevirksomheder: NIS 2-loven, https://www.foedevarestyrelsen.dk/kost-og-foedevarer/kontrol/cybersikkerhed-nis-2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Afgrænsning af NIS2-auditten · Væsentlig eller vigtig enhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
