Lovens bilag 1 omfatter sundhedstjenesteydere efter definitionen i direktiv 2011/24/EU og EU-referencelaboratorier. Laboratorier i almindelighed står ikke i bilaget, og Sundhedsdatastyrelsen er myndighed for sektoren.
Den private klinik, behandlingsvirksomhed eller laboratorieejer skal derfor først afklare, om den falder ind under en af de to kategorier. Artiklen gennemgår bilagets ordlyd og hvor de kilder, vi har læst, ikke giver svar.
Bilagets ordlyd
Bilag 1, pkt. 5, om sundhed, nævner bl.a.:
- Sundhedstjenesteydere som defineret i artikel 3, litra g, i direktiv 2011/24/EU.
- EU-referencelaboratorier, der er omhandlet i artikel 15 i forordning (EU) 2022/2371.
Samme punkt omfatter også enheder, der forsker i og udvikler lægemidler, enheder, der fremstiller farmaceutiske råvarer og præparater, og producenter af medicinsk udstyr, der anses for kritisk i en folkesundhedsmæssig krisesituation. Det sidste er beskrevet i producent af medicinsk udstyr.
Laboratorier
Bilaget nævner EU-referencelaboratorier og ikke laboratorier generelt. Et privat laboratorium er altså ikke omfattet, blot fordi det er et laboratorium. Om et privat laboratorium kan være en sundhedstjenesteyder efter direktivets definition, har vi ikke undersøgt, fordi direktivet ikke er læst til denne artikel. Den vurdering bør I lave med direktivets tekst eller med juridisk bistand.
Sundhedstjenesteydere
Definitionen af sundhedstjenesteyder står i direktiv 2011/24/EU, artikel 3, litra g. Vi gengiver den ikke, da vi ikke har læst den. For en privat klinik er den definition udgangspunktet for vurderingen, sammen med størrelsesgrænserne i lovens §§ 4 og 5.
Som bilag 1-type kan en sundhedstjenesteyder være væsentlig enhed efter størrelse (§ 4, stk. 1) eller vigtig enhed (§ 5). Det er vores læsning af paragrafferne. Grænserne er gennemgået i størrelsesberegningen efterprøvet, og forskellen på de to slags enheder i væsentlig eller vigtig enhed.
Myndigheden
Efter bekendtgørelse nr. 620/2025, § 4, nr. 1, er Sundhedsdatastyrelsen kompetent myndighed for sundhed. Styrelsens side om lov- og myndighedskrav henviser til Styrelsen for Samfundssikkerheds tværgående vejledninger. Vi har ikke fundet en sektorspecifik NIS 2-vejledning fra Sundhedsdatastyrelsen på siden.
Det betyder, at en audit i praksis måler mod lovens § 6 og § 7 og de tværgående vejledninger. Hvordan kravene bliver til målbare kriterier, står i skal, bør og kan.
Forholdet til sundhedslovgivningen
Ud over NIS 2 gælder der regler for selve patientbehandlingen. Hvordan de regler hænger sammen med NIS 2, har vi ikke fundet beskrevet i de kilder, vi har læst. Vi skriver derfor ikke, hvor grænsen går, eller om noget kan genbruges.
Det, der kan siges, er, at NIS 2-kravene gælder virksomhedens net- og informationssystemer. Hvordan NIS 2 og databeskyttelsesforordningens artikel 32 kan gennemgås i samme forløb, er beskrevet i NIS2 og GDPR i samme audit.
Regioner og offentlige sygehuse
Artiklen handler om private aktører. Regionernes og de offentlige sygehuses forhold er beskrevet på siden om audit i det offentlige.
Hvad en audit kan begynde med
Det følgende er praksis. Begynd med at skrive ned, om I falder ind under bilaget, og hvilken definition konklusionen hviler på. Er den omfattet, er næste skridt det samme som i andre sektorer: risikovurdering, ledelsens godkendelse, foranstaltningerne i § 6 og underretningsproceduren. Systemer, der understøtter behandling, fx booking, journal og udstyr med netforbindelse, hører med i risikovurderingen.
Hvis I er i tvivl
Det følgende er praksis. Skriv vurderingen ned, selv om konklusionen er, at I ikke er omfattet. En kort note med bilagets ordlyd, den definition, I har brugt, og jeres størrelsestal er nok til at vise, at spørgsmålet er overvejet. Noten opdateres, når forretningen ændrer sig, fx ved nye ydelser eller ved opkøb af en klinik. Er I i tvivl, kan Sundhedsdatastyrelsen spørges. Gem spørgsmålet og svaret.
En virksomhed med flere aktiviteter
En privat sundhedsvirksomhed kan også have aktiviteter, der hører under andre punkter i bilag 1, fx forskning i lægemidler. Hver aktivitet vurderes for sig, men kravene gælder hele virksomheden, når den først er omfattet.
Hvad auditten ikke afgør
En audit kan efterprøve, at vurderingen er lavet, at den bygger på de rigtige kilder, og at foranstaltningerne er på plads, hvis virksomheden er omfattet. Den kan ikke afgøre et juridisk spørgsmål om definitionen af en sundhedstjenesteyder. Det spørgsmål hører hjemme hos myndigheden eller en jurist.
Hvad det kræver, og hvad det koster at lade være
Vurderingen kræver definitionen i direktivet, bilagets tekst og jeres tal. Er definitionen svær at anvende på jeres forretning, kan en henvendelse til Sundhedsdatastyrelsen eller en juridisk vurdering være nødvendig.
Uden vurderingen ved I ikke, om kravene gælder. Er I omfattet uden at vide det, mangler I registrering, ledelsens godkendelse og en underretningsprocedure.
Det skal I lade være med
- At gå ud fra, at alle laboratorier er omfattet · bilaget nævner EU-referencelaboratorier.
- At antage, at sundhedskravene dækker NIS 2 · ingen kilde, vi har læst, siger det.
- At afgøre spørgsmålet uden direktivets definition · den er grundlaget.
Det skal auditten kunne vise
- ☐ En note om, hvorvidt klinikken eller laboratoriet hører under bilag 1, pkt. 5, og hvorfor.
- ☐ Om virksomheden er væsentlig eller vigtig, og hvordan det er beregnet.
- ☐ Hvilke vejledninger auditten måler mod.
- ☐ En risikovurdering, der omfatter systemer til behandling og patientdata.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4 og 5 samt bilag 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 4, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Sundhedsdatastyrelsen, Lov- og myndighedskrav, https://sundhedsdatastyrelsen.dk/cybersikkerhed/lovkrav, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit af risikovurderingen · Registreringen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
