Søfartsstyrelsen er NIS 2-myndighed for rederier, og styrelsens beslutningstræ afgør som udgangspunkt, om et rederi er omfattet. Driver rederiet også en terminal som selvstændig terminaloperatør, hører den del under Trafikstyrelsen.
Ét rederi kan altså have to myndigheder. Det påvirker, hvordan en audit afgrænses, og hvem rapporterne er skrevet til. Artiklen gennemgår beslutningstræet og opdelingen.
Hvad loven siger
Rederier står i lovens bilag 1, pkt. 2, litra c. Bilaget undtager de enkelte fartøjer, som rederierne driver. Efter bekendtgørelse nr. 620/2025, § 8, er Søfartsstyrelsen kompetent myndighed.
Undtagelsen for fartøjerne betyder, at auditten efter NIS 2 retter sig mod rederiets organisation og systemer på land. Hvordan grænsen trækkes i praksis mellem skib og land, beskriver kilderne ikke, og den bør afklares med styrelsen, hvis den er uklar hos jer.
Søfartsstyrelsens beslutningstræ
Styrelsen har lavet et beslutningstræ for udpegning af rederier. Træet stiller spørgsmålene i denne rækkefølge, forenklet gengivet:
- Har rederiet et dansk CVR-nummer?
- Hvor stort er rederiet målt på omsætning, balance og ansatte?
- Administrerer rederiet ISM-koden internt i organisationen?
Er svaret på det sidste spørgsmål nej, er rederiet som udgangspunkt ikke udpeget som enhed i relation til søfartssektoren. Er svaret ja, udpeges det som vigtig eller væsentlig enhed efter størrelse. Grænserne for størrelse står i træet og i lovens §§ 4 og 5; vi gengiver dem ikke. Antallet af ansatte i lovens grænser er 50 og 250.
ISM-koden som kriterium
Vi har ikke læst ISM-kodens indhold og beskriver det ikke her. Det, der betyder noget for NIS 2-vurderingen, er det spørgsmål, styrelsens træ stiller: administreres koden internt i rederiet, eller er administrationen lagt ud?
Svaret bør dokumenteres. Hvem administrerer koden, efter hvilken aftale, og siden hvornår? Ændres det, kan rederiets status efter NIS 2 også ændre sig. En audit kan efterprøve, at vurderingen stadig passer til virkeligheden.
Terminalen under en anden myndighed
Trafikstyrelsen skriver i sin FAQ, at et rederi, der er selvstændig terminaloperatør, er omfattet af Trafikstyrelsens myndighedsområde for havnefacilitetens vedkommende. Risikovurderingen skal ske med vægt på havnefacilitetens funktion. Søfartsstyrelsen er NIS 2-myndighed for rederiet i øvrigt.
For auditten betyder det to ting. Risikovurderingen for terminalen skal kunne læses for sig, med terminalens funktion som omdrejningspunkt. Og det bør være afklaret på forhånd, hvilken myndighed en hændelse på terminalen hører under. Det er vores tolkning af opdelingen. Afgrænsningen af havnefaciliteter er beskrevet i NIS2-audit i transport.
Én audit, to modtagere
Det følgende er praksis. Selv om der er to myndigheder, er det samme virksomhed med samme ledelsesorgan, samme IT-afdeling og ofte samme systemer. En samlet audit kan derfor give mening, så længe rapporten er opdelt, så hver myndighed kan se sin del.
Planlæg rapporten med to afsnit om afgrænsning og risiko, et for terminalen og et for rederiet i øvrigt, og fælles afsnit for de foranstaltninger, der dækker begge. Gør det tydeligt, hvilke fund der gælder hvad. Om samlet eller opdelt audit, se NIS2-audit i en koncern, hvor samme overvejelse gælder for flere selskaber.
Kontoret på land
Det følgende er praksis. Når fartøjerne er undtaget, er det rederiets systemer på land, auditten går i dybden med: flådestyring, bemanding, booking, økonomi, kommunikation med skibene og de systemer, der bruges til at administrere ISM-koden, hvis det sker internt. Forbindelsen mellem land og skib er en grænseflade, auditten bør beskrive, også selv om skibet ligger uden for NIS 2-vurderingen. Hvem har adgang fra land til systemer om bord, og omvendt?
Når administrationen flyttes
Overvejer rederiet at lægge administrationen af ISM-koden ud, eller at tage den hjem, bør NIS 2-vurderingen være en del af beslutningen. Det er styrelsens træ, der knytter de to sammen. Skriv ned, hvad ændringen betyder for status, registrering og myndighed, før den gennemføres.
Hvis rederiet ikke er omfattet
Er svaret på spørgsmålet om ISM-koden nej, er rederiet som udgangspunkt ikke udpeget i relation til søfartssektoren. Det følgende er praksis. Gem beslutningstræets svar med dato og dokumentation, så I kan vise, hvordan I er nået frem til konklusionen. Har rederiet aktiviteter i andre sektorer, fx en terminal, vurderes de for sig.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver svarene på beslutningstræets spørgsmål, dokumentation for administrationen af ISM-koden og en oversigt over terminalaktiviteten. Det kan samles af en person, der kender organisationen.
Er afgrænsningen uklar, risikerer I at underrette den forkerte myndighed eller at have en risikovurdering, der ikke passer til nogen af dem. Begge dele koster tid, når en hændelse eller et tilsyn kommer.
Det skal I lade være med
- At antage, at rederiets status er fast · den afhænger af, hvem der administrerer ISM-koden.
- At skrive én risikovurdering for både terminal og rederi uden opdeling · terminalen vurderes med vægt på sin funktion.
- At gætte på grænsen mellem skib og land · spørg styrelsen.
Det skal auditten kunne vise
- ☐ Svarene på beslutningstræets spørgsmål med dato.
- ☐ Dokumentation for, hvem der administrerer ISM-koden.
- ☐ En risikovurdering for terminalen med vægt på havnefacilitetens funktion.
- ☐ En underretningsprocedure, der angiver den rette myndighed.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4 og 5 samt bilag 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, §§ 7 og 8, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Søfartsstyrelsen, beslutningstræ for udpegning af rederier efter NIS 2-loven, https://cdn2.gopublic.dk/soefartsstyrelsen/Media/638853912327353616/Beslutningstr%20ift%20udpegning%20af%20rederier%20jf%20NIS-2%20loven.pdf, læst 12. november 2026.
- Trafikstyrelsen, NIS 2 for transportsektoren, https://www.trafikstyrelsen.dk/cyber/nis-2-for-transportsektoren, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Størrelsesberegningen efterprøvet · Kan I nå 24 timer, 72 timer og en måned?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
