Miljøstyrelsen vurderer, at drikkevandsforsyninger med en debiteret vandmængde på 800.000 m³ eller mere om året i to år i træk bør være omfattet af NIS 2-loven, og at mindre forsyninger som udgangspunkt også bør omfattes, hvis de leverer til bestemte samfundsvigtige modtagere. Omfattes et vandværk på den måde, er det væsentlig enhed.
For et privat, forbrugerejet vandværk er det første spørgsmål derfor, om det rammer en af styrelsens kategorier. Er svaret ja, gælder lovens krav til foranstaltninger og ledelse, uanset hvordan bestyrelsen er sammensat.
Miljøstyrelsens vurdering
Drikkevand står i lovens bilag 1, pkt. 6, og spildevand i pkt. 7. Miljøstyrelsen er kompetent myndighed efter bekendtgørelse nr. 620/2025, § 11.
I et notat fra august 2025 om anvendelsesområdet skriver styrelsen, at drikkevandsforsyninger, der leverer 800.000 m³ drikkevand eller mere i debiteret vandmængde per år i to på hinanden følgende år, bør være omfattet efter lovens § 4, stk. 3, nr. 5, litra b, c eller d. Derudover bør en forsyning som udgangspunkt omfattes efter litra d, hvis den leverer til:
- hospitaler med mere end 200 ansatte,
- plejehjem med i alt flere end 200 beboere,
- arresthuse og fængsler med i alt mere end 200 pladser, eller
- en ø med mere end 2.000 indbyggere (det enkelte vandværk).
Styrelsen skriver, at det altid bør bero på en konkret vurdering, og notatet har to eksempler. Det er styrelsens vurdering og ikke lovtekst. Omfattes forsyningen efter § 4, stk. 3, er den væsentlig enhed.
Koncern og samarbejde
Notatet behandler også forsyninger med fælles ejer. Selskaber ejet af samme holdingselskab ses samlet ved størrelsesberegningen. Efter styrelsens opfattelse kan et selskab kun ses som uafhængigt, hvis der slet ikke er en indbyrdes afhængighed eller et samarbejde om net- og informationstjenester. Deler flere vandværk et driftssystem eller en driftsleverandør, er det værd at læse notatet grundigt.
Bestyrelsen
Kilderne nævner ikke forbrugerejede vandværker eller frivillige bestyrelser særskilt. Efter lovens ordlyd ændrer ejerform og bestyrelsens sammensætning ikke kravene. Det er vores læsning.
Det betyder, at bestyrelsen er ledelsesorgan efter § 7. Bestyrelsen skal altså godkende foranstaltningerne, holde øje med gennemførelsen og selv tage relevante kurser i styring af cybersikkerhedsrisici. Hvordan kurserne auditeres, står i ledelsesorganets kurser som auditpunkt, og sporet efter godkendelsen i sporet efter ledelsens godkendelse.
Styringen af anlægget
Miljøstyrelsen har i april 2026 udgivet en vejledning om foranstaltninger til vandsektoren. Den supplerer Styrelsen for Samfundssikkerheds vejledning og nævner ISO/IEC 27001:2023, IEC 62443 og CIS Critical Security Controls som standarder. Det er Miljøstyrelsens henvisninger.
Vejledningen anbefaler, at politikkerne omfatter OT-komponenter som PLC’er og serviceleverancer som SRO-systemer. SRO står for styring, regulering og overvågning. Under effektiviteten af foranstaltningerne anbefaler den flere metoder, bl.a. penetrationstest, test af logning og hændelseshåndtering, aktivfortegnelser og arkitekturgennemgange, sårbarhedshåndtering og test af overgang til ø-drift og manuel drift og af backup og gendannelse. Ifølge vejledningen kan test udføres af eksterne tredjeparter. Den nævner også, at tredjeparts revisorerklæringer fra leverandører kan være et hjælpsomt redskab.
For et mindre vandværk, hvor driften er lagt ud, kan leverandøren af SRO-anlægget være den, der kender systemet bedst. Auditten ser derfor på aftalen, fjernadgangen og leverandørens dokumentation. Se audit af leverandørstyringen og OT i NIS2-auditten.
CER-loven
Miljøstyrelsen skrev i august 2025, at den senest 17. juli 2026 identificerer kritiske enheder efter CER-loven. Vi har ikke kontrolleret, om det er sket. Hvad en udpegning vil betyde, står i udpeget som kritisk enhed.
Kommunale forsyninger
Artiklen handler om det private, forbrugerejede vandværk. Om de kommunalt ejede forsyninger kan I læse mere under audit i kommuner og forsyninger.
Det lille vandværk uden ansatte
Det følgende er praksis. Har vandværket ingen ansatte og en driftsleverandør, ligger meget af det praktiske hos leverandøren. Pligten ligger stadig hos vandværket. Bestyrelsen bør derfor kunne vise, hvilke foranstaltninger leverandøren står for, og hvordan bestyrelsen får at vide, at de virker. Se den mindre NIS2-virksomhed.
Hvad det kræver, og hvad det koster at lade være
Vurderingen af, om vandværket er omfattet, kræver den debiterede vandmængde for to år og en liste over de største modtagere. Er vandværket omfattet, kræver det en risikovurdering, en godkendelse i bestyrelsen, kurser og en underretningsprocedure.
Uden vurderingen kan bestyrelsen stå med pligter, den ikke kender. Og manuel drift, der ikke er øvet, er svær at sætte i gang, når anlægget svigter.
Det skal I lade være med
- At læse styrelsens vurdering som en fast grænse · den skal altid bero på en konkret vurdering.
- At regne en frivillig bestyrelse som undtaget · loven skelner ikke.
- At lade SRO-anlægget ude af auditten · det er kernen i driften.
Det skal auditten kunne vise
- ☐ Den debiterede vandmængde for de seneste to år og en vurdering af modtagerne.
- ☐ Bestyrelsens godkendelse af foranstaltningerne og deltagelse i kurser.
- ☐ Aftale og fjernadgang for leverandøren af SRO-anlægget.
- ☐ En dateret test af overgang til manuel drift og af gendannelse.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4 og 7 samt bilag 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 11, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Miljøstyrelsen, Vejledning til vandsektoren om anvendelsesområde, 28. august 2025, https://mst.dk/media/lwkdx2i0/vejledning-til-vandsektoren-om-anvendelsesomraade.pdf, læst 12. november 2026.
- Miljøstyrelsen, Vejledning til vandsektoren om foranstaltninger, nr. 87, april 2026, https://www2.mst.dk/Udgiv/publikationer/2026/04/978-87-7564-101-7.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit af backup og gendannelse · Den mindre NIS2-virksomhed · NIS2-audit i en privat affaldsvirksomhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
