Trafikstyrelsen fører tilsyn med NIS 2 for luftfart, jernbane, vej, havne og havnefaciliteter samt post og kurer. Styrelsen har beskrevet, hvem den regner som omfattet, og har lavet en tjekliste med fem punkter, som er et brugbart udgangspunkt for en audit.
Afgrænsningen er detaljeret. En privat virksomhed med en kaj eller en fragtbil er ikke automatisk omfattet. Artiklen samler styrelsens udmeldinger og viser, hvordan de bruges.
Myndigheden
Efter bekendtgørelse nr. 620/2025, § 7, er Trafikstyrelsen kompetent myndighed for luft, jernbane, vej, driftsorganer i havne og havnefaciliteter samt post og kurer. Rederier hører under Søfartsstyrelsen og er beskrevet i NIS2-audit i et rederi.
Trafikstyrelsens afgrænsning
Styrelsen skriver på sin side om NIS 2 for transportsektoren:
- På transportområdet er der ikke fastsat regler om, at andre enheder omfattes efter lovens § 4, stk. 4.
- Metro og letbane er omfattet under jernbane, hvis størrelseskravet er opfyldt.
- Busdrift og fragt på vejnettet er ikke omfattet på transportområdet. Fragtvirksomheder bør dog undersøge andre myndighedsområder, fx fødevarer eller affald.
- En privat vejejer er ikke vejmyndighed.
Det sidste punkt om fragt er værd at tage alvorligt. En vognmand, der kører fødevarer, kan falde ind under en anden sektor, afhængigt af hvordan den sektors myndighed afgrænser. Fødevarestyrelsens afgrænsning er beskrevet i NIS2-audit i fødevareproduktion.
Havnefaciliteter
Omfattet er bl.a. faciliteter ved grænsefladen mellem land og vand, der laster og losser gods for tredjepart eller betjener passagerer. Trafikstyrelsen skriver, at en virksomhed, der driver en havnefacilitet alene til eget formål, ikke er omfattet af NIS 2-loven på transportområdet.
For en produktionsvirksomhed med egen kaj til egne råvarer kan det betyde, at kajen ikke gør virksomheden omfattet på transportområdet. Det udelukker ikke, at virksomheden er omfattet af en anden grund. Vurderingen bør skrives ned.
Post
Trafikstyrelsen skriver, at omfattede postvirksomheder anses som vigtige enheder uanset størrelse, og at virksomheder med posttilladelse betragtes som postbefordrende. Det er styrelsens udsagn. Lovens § 5 indeholder ikke en undtagelse fra størrelsesgrænserne for post, og vi har ikke fundet styrelsens begrundelse i loven. Spørg styrelsen, hvis jeres vurdering afhænger af det punkt.
Luftfart
Luftfarten har derudover EU-forordning 2019/1583 på securityområdet, som ifølge Trafikstyrelsen bl.a. omfatter lufthavnsoperatører, luftfartsselskaber, fragtagenter og sikkerhedsgodkendte leverandører. Vi har ikke læst forordningen. For luftfartsselskaber gælder også reglerne om informationssikkerhed, som er beskrevet i luftfartsselskab: NIS 2 og del-IS.
Tjeklisten som auditprogram
Trafikstyrelsens onepager fra juni 2025 har fem punkter. Hvert punkt kan blive et afsnit i en audit:
- Registrering efter lovens § 33, stk. 3. Er I registreret, og er oplysningerne rigtige? Se registreringen efterprøvet.
- Risikovurdering og foranstaltninger efter § 6. Bygger foranstaltningerne på en dateret risikovurdering?
- Ledelsens godkendelse efter § 7, stk. 1. Kan godkendelsen ses i et referat?
- Ledelsens kurser efter § 7, stk. 2. Styrelsen skriver, at kurserne ikke har specifikke form- og indholdskrav. Auditten kan derfor se på, om kurserne er relevante, og om deltagelsen er dokumenteret.
- Underretning efter § 12. Ved alle, hvad der skal underrettes om, og hvordan?
Ifølge onepageren vil styrelsens tilsyn i begyndelsen især være vejledende. Tilsyn med vigtige enheder indledes ifølge styrelsen alene ved tegn på manglende efterlevelse.
Flere aktiviteter i samme virksomhed
Det følgende er praksis. En virksomhed kan have en kaj, en lagerbygning og en flåde af biler. Hver aktivitet skal vurderes for sig, og vurderingen skrives ned med henvisning til Trafikstyrelsens udmeldinger. Er virksomheden omfattet af en anden grund, rækker kravene til alle dens afdelinger, også kajen og bilerne. Se hele CVR-nummeret er med. Skifter aktiviteterne, fx fordi I begynder at losse for andre, skal vurderingen tages op igen.
Underretning til den rigtige myndighed
Underretning om væsentlige hændelser sker efter Styrelsen for Samfundssikkerheds vejledning via Virk.dk og går derfra automatisk til den sektoransvarlige myndighed og CSIRT’en. Efter vores læsning forudsætter det, at virksomheden er registreret i den rigtige sektor. En audit kan derfor sammenholde registreringen med den skriftlige afgrænsning og se, om de to passer sammen.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver Trafikstyrelsens sider og jeres egne aktiviteter skrevet op: hvem I transporterer for, hvilke faciliteter I driver, og for hvem. Tjeklisten kan gennemgås på kort tid, når dokumentationen findes.
Uden afgrænsningen kan I enten overse, at I er omfattet, eller bygge et program for et regelsæt, der ikke gælder. Med tjeklisten som udgangspunkt kommer I hurtigt til det, styrelsen selv lægger vægt på.
Det skal I lade være med
- At gå ud fra, at en kaj altid gør jer omfattet · facilitet til eget formål er ikke omfattet på transportområdet.
- At gå ud fra, at fragt på vej altid holder jer ude · andre sektorer kan gælde.
- At gengive “uanset størrelse” om post som lov · det er styrelsens udsagn.
Det skal auditten kunne vise
- ☐ En skriftlig afgrænsning med henvisning til Trafikstyrelsens udmeldinger.
- ☐ Registreringen og dens oplysninger.
- ☐ Ledelsens godkendelse og dokumenteret deltagelse i kurser.
- ☐ En underretningsprocedure efter § 12.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 5, 6, 7, 12 og 33, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 7, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Trafikstyrelsen, NIS 2 for transportsektoren, https://www.trafikstyrelsen.dk/cyber/nis-2-for-transportsektoren, læst 12. november 2026.
- Trafikstyrelsen, Sådan bliver din transportvirksomhed klar til NIS2, juni 2025, https://cdn.trafikstyrelsen.dk/trafikstyrelsen/Media/638859372066062871/Onepager%20S%C3%A5dan%20bliver%20din%20transportvirksomhed%20klar%20til%20NIS2.PDF, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven: Hændelsesunderretning, juni 2025, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-handelsesunderretning-2025.pdf, læst 12. november 2026.
- Trafikstyrelsen, Regler for cybersikkerhed i transportsektoren, https://www.trafikstyrelsen.dk/cyber/regler-for-cybersikkerhed-i-transportsektoren, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsesorganets kurser som auditpunkt · Væsentlig eller vigtig enhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
