Fremstillingsvirksomheder i branchekoderne 26 til 30 er omfattet af NIS 2-lovens bilag 2, når de opfylder størrelsesgrænserne, og Styrelsen for Samfundssikkerhed fører tilsyn med dem. Lovens krav gælder hele virksomhedens net- og informationssystemer, også dem, der styrer produktionen.
En audit i en fabrik skal derfor planlægges rundt om noget, der ikke kan stoppes for at give plads til en gennemgang. Artiklen forklarer afgrænsningen og de praktiske greb.
Hvem er omfattet?
Lovens bilag 2, pkt. 5, nævner fremstilling i NACE Rev. 2, hovedafdeling C, hovedgruppe 26 (computere, elektroniske og optiske produkter), 27 (elektrisk udstyr), 28 (maskiner og udstyr i.a.n.), 29 (motorkøretøjer, påhængsvogne og sættevogne) og 30 (andre transportmidler). Litra a om medicinsk udstyr hører også til punktet og er beskrevet i producent af medicinsk udstyr.
Bilag 2-enheder er vigtige enheder, medmindre de er væsentlige efter § 4, stk. 3, fx fordi de er identificeret som kritiske enheder efter CER-loven. Størrelsesreglen i § 4, stk. 1, gælder kun bilag 1-typerne. Det er vores læsning af §§ 4 og 5. Størrelsesgrænserne står i lovens § 5, og beregningen er gennemgået i størrelsesberegningen efterprøvet.
Hvem fører tilsyn?
Efter bekendtgørelse nr. 620/2025, § 12, nr. 4-7, er Styrelsen for Samfundssikkerhed kompetent myndighed for hovedgruppe 26-30. Styrelsens side om NIS 2-tilsyn nævner “visse dele af fremstillingssektoren (branchekode 26-30)”. Siden beskriver ikke, hvordan eller hvornår styrelsen fører tilsyn med private fremstillingsvirksomheder, og vi skriver ikke en tidsplan.
Som vigtig enhed får virksomheden reaktivt tilsyn efter § 24, dvs. når der er indikationer på, at kravene ikke er overholdt.
Produktionen er en del af auditten
§ 6 omfatter de net- og informationssystemer, som virksomheden bruger i sin drift og til sine ydelser. Lovens definition i § 3, nr. 21, litra b, omfatter enhver anordning eller gruppe af forbundne anordninger, der ved hjælp af et program udfører automatisk behandling af digitale data. Efter vores læsning dækker det også styringer, operatørpaneler og de servere, der driver produktionen.
Desuden gælder kravene hele virksomheden, også de dele, der ligger uden for den aktivitet, som gjorde den omfattet. Det står i Fødevarestyrelsens og Digitaliseringsstyrelsens vejledning, og det er beskrevet i hele CVR-nummeret er med. Hvordan styringsanlæg håndteres i en audit, og hvad vejledningerne siger om IEC 62443, står i OT i NIS2-auditten.
Auditten omkring anlæg og skiftehold
Det følgende er praksis og ikke lovkrav.
Gennemgang uden stop. Det meste af en audit sker på papir og i interview. Konfigurationer, netværkstegninger og adgangslister kan ofte ses uden at røre anlægget. Tekniske stikprøver på selve styringerne aftales med produktionen og lægges i planlagte stop eller vedligeholdelsesvinduer.
Skiftehold. Den, der har ansvaret for en maskine om natten, er ikke nødvendigvis den, der sidder til et interview kl. 10. Planlæg interviews med alle skift, eller lad auditor møde op ved et skifteholdsskifte. Ellers ser auditten kun dagholdets praksis.
Fjernadgang. Maskinleverandører kan have adgang til deres udstyr. Auditten bør se, hvem der har adgang, hvordan den åbnes og lukkes, og om den bliver logget. Kravet om forsyningskædesikkerhed står i § 6, stk. 1, nr. 4.
Kontinuitet. Hvad sker der med produktionen, hvis administrationens systemer er nede? Kan ordrer, recepter og kvalitetsdata hentes, og hvor længe kan anlæggene køre uden dem? Spørgsmålene hører under § 6, stk. 1, nr. 3.
Virksomhedens systemer og produktet
En NIS2-audit gælder jeres egne systemer. Hvis I fremstiller produkter med digitale elementer, er der et andet regelsæt for selve produktet. Afgrænsningen er beskrevet i NIS 2 og CRA i fremstillingsvirksomheden. En NIS2-audit tester ikke fysiske produkter.
Når anlægget ejes af kunden eller en leverandør
Det følgende er praksis. Nogle anlæg står hos jer, men ejes eller vedligeholdes af en anden. Andre data ligger hos en leverandør af produktionsstyring som tjeneste. Kravet om forsyningskædesikkerhed i § 6, stk. 1, nr. 4, omfatter forholdet til direkte leverandører og tjenesteudbydere. Auditten bør derfor se på aftalerne: hvem opdaterer, hvem har adgang, og hvem underretter hvem ved en hændelse. Se driften er outsourcet.
Hvad det kræver, og hvad det koster at lade være
En audit i produktionen kræver adgang til personer på flere skift, en kontaktperson i produktionen og aftalte vinduer for tekniske stikprøver. Det kræver også, at nogen kan forklare, hvad anlæggene hænger sammen med.
En audit, der kun ser på kontoret, efterlader netop de systemer, hvor et nedbrud koster mest. Fundene bliver mindre, end virkeligheden er.
Det skal I lade være med
- At afgrænse auditten til administrationen · produktionens systemer er også net- og informationssystemer.
- At planlægge tekniske test uden produktionen · aftal vinduer, så driften ikke stopper.
- At interviewe kun dagholdet · praksis kan være forskellig på skift.
Det skal auditten kunne vise
- ☐ Branchekoden og vurderingen af, om virksomheden er væsentlig eller vigtig.
- ☐ Et aktivregister, der også omfatter styringer og produktionsservere.
- ☐ En oversigt over leverandørers fjernadgang til anlæg med log.
- ☐ En vurdering af, hvordan produktionen kører, når administrative systemer er nede.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 4, 5, 6 og 24 samt bilag 2, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 12, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS2-tilsyn, https://samsik.dk/tilsyn/nis2-tilsyn/, læst 12. november 2026.
- Fødevarestyrelsen, Kontrol af cybersikkerhed i fødevarevirksomheder: NIS 2-loven, https://www.foedevarestyrelsen.dk/kost-og-foedevarer/kontrol/cybersikkerhed-nis-2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Afgrænsning af NIS2-auditten · Tekniske stikprøver i en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
