I en koncern er hvert selskab med eget CVR-nummer en enhed efter NIS 2-loven, og hvert af dem skal kunne svare for sig selv. Den praktiske løsning er ofte én samlet audit, hvor det fælles kontrolleres én gang, og hvor rapporten giver et særskilt svar for hvert omfattet selskab.
Den løsning er praksis. Ingen myndighed har beskrevet, hvordan en koncern skal tilrettelægge en frivillig audit, så modellen nedenfor er en tolkning af vejledningens regler om enheder.
Hvert CVR-nummer er sin egen enhed
Vejledningen om anvendelsesområdet fra maj 2025 knytter begrebet enhed til CVR-nummeret. Har moder og datter hvert sit nummer, er der tale om to enheder. Det ene kan være omfattet og det andet ikke, og to omfattede selskaber kan være i hver sin kategori.
For auditten betyder det, at spørgsmålet “er koncernen klar til NIS2?” ikke har et svar. Det har et svar pr. omfattet selskab. Hvert selskab har sit eget ledelsesorgan efter lovens § 3, nr. 20, og det er det organ, der skal godkende foranstaltningerne og føre tilsyn efter § 7.
Størrelsen regnes med koncernforbindelser
Om et selskab er omfattet, og i hvilken kategori, afhænger af størrelsen. Her tæller ejerskabet. Vejledningens kapitel 3 regner partnervirksomheder med en del af deres størrelse og tilknyttede virksomheder med det hele. Skillelinjerne går ved ejerandele på 25 og 50 procent.
Vejledningen åbner også for en undtagelse. Et selskab, der i vid udstrækning opererer uafhængigt af sine partner- eller tilknyttede virksomheder, især i sine net- og informationssystemer, kan blive anset for at være under tærsklen. Det er en vurdering, der skal kunne dokumenteres, og den er gennemgået i størrelsesberegningen efterprøvet.
Det er her, en fælles IT-afdeling får betydning. Deler selskaberne systemer, drift og administratorer, er de næppe uafhængige i deres net- og informationssystemer. Det er en faglig vurdering og ikke en regel.
Fælles IT kontrolleres én gang
Ligger IT, sikkerhed og drift i ét selskab, som leverer til de andre, er der en oplagt besparelse. En audit, der gennemgår de samme systemer, politikker og folk én gang pr. selskab, spilder tid. Det er mere rimeligt at kontrollere det fælles én gang og lade resultatet gælde for alle de selskaber, der bruger det.
To ting skal holdes adskilt. Det første er det fælles: koncernens politikker, identitet, netværk, backup, overvågning og den fælles drift. Det andet er det lokale for hvert selskab: dets egen risikovurdering med dets egne tjenester, dets ledelsesorgans godkendelse og tilsyn, ledelsesorganets kurser, dets registrering og dets lokale systemer og leverandører.
Det sidste kan ikke klares centralt. Ledelsesorganets ansvar efter § 7 ligger i det enkelte selskab, og læst sådan er en koncernpolitik først godkendt for et datterselskab, når dets eget ledelsesorgan har godkendt den. Det er en tolkning af § 7, stk. 1.
Om den interne IT-leverandør selv er en udbyder af administrerede tjenester efter loven, er et særligt spørgsmål. Det er behandlet i koncern-IT eller udbyder af administrerede tjenester?.
Rapporten
En samlet audit bør munde ud i en rapport med en fælles del og en del pr. omfattet selskab. Den fælles del beskriver kontrollen af det, alle deler. Hver selskabsdel henviser til den og tilføjer det lokale. Konklusionen skrives til hvert selskabs ledelsesorgan.
Koncernens bestyrelse kan få et samlet overblik. Den bør ikke være den eneste modtager, hvis datterselskaberne har egne bestyrelser. Hvordan en koncern styrer og rapporterer sikkerheden samlet over år, hører til modenhed og styring i større koncerner.
Har koncernen selskaber i andre EU-lande, kommer jurisdiktionen ind som et ekstra lag. Se datterselskaber i andre EU-lande.
Hvad det kræver, og hvad det koster at lade være
En samlet audit kræver en oversigt over selskaberne, deres status efter loven og de systemer og ydelser, de deler. Den kræver også, at hvert selskabs ledelse er klar til at modtage sin egen del. Det koordinerende arbejde ligger typisk hos koncernens IT- eller sikkerhedsfunktion.
Laves auditten kun på koncernniveau, får datterselskabernes ledelsesorganer intet, de kan bruge i deres eget tilsyn. Laves den helt separat pr. selskab, bliver det fælles kontrolleret flere gange, og de forskellige rapporter kan komme til forskellige konklusioner om de samme systemer.
Det skal I lade være med
- At give koncernen ét samlet svar · loven spørger pr. CVR-nummer.
- At lade koncernbestyrelsen godkende for datterselskaberne · hvert ledelsesorgan har sit ansvar.
- At gennemgå de fælles systemer igen og igen · kontrollér dem én gang, og henvis.
Det skal auditten kunne vise
- ☐ Hvert selskab i koncernen, om det er omfattet, og i hvilken kategori.
- ☐ Størrelsesberegningen med koncernforbindelser for hvert omfattet selskab.
- ☐ En fælles del for delte systemer og en del pr. selskab for det lokale.
- ☐ Hvert ledelsesorgans godkendelse og tilsyn med dato.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tegn koncernen med CVR-numre, og skriv ved hvert selskab, om det er omfattet, og hvilke systemer det deler med de andre.
Læs også: Afgrænsning af NIS2-auditten · Bestyrelsen bestiller auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
