En virksomhed, der distribuerer stoffer eller blandinger uden selv at producere dem, kan være omfattet af NIS 2-loven, fordi distribution står udtrykkeligt i lovens bilag 2, pkt. 3. Det forudsætter, at størrelsesgrænserne i § 5 er opfyldt, og tilsynet ligger hos Styrelsen for Samfundssikkerhed.
Det er let at tænke på NIS 2 som noget for fabrikker og forsyninger. Bilaget er bredere. Artiklen forklarer afgrænsningen og hvad en audit hos en distributør typisk drejer sig om.
Bilagets ordlyd
Bilag 2, pkt. 3, om fremstilling, produktion og distribution af kemikalier, nævner virksomheder, der beskæftiger sig med fremstilling af stoffer og distribution af stoffer eller blandinger som omhandlet i artikel 3, nr. 9 og 14, i REACH-forordningen (EF) nr. 1907/2006, og virksomheder, der producerer artikler ud af stoffer eller blandinger.
Efter bilagets ordlyd kan en distributør uden egen produktion altså være omfattet. Det er vores læsning af teksten. Hvad REACH-forordningen definerer som distributør, stof og blanding, gengiver vi ikke her. Læs definitionerne i forordningens artikel 3, før I konkluderer, om jeres aktivitet passer.
Vigtig enhed som udgangspunkt
En virksomhed fra bilag 2 er som hovedregel vigtig enhed. Den bliver væsentlig, hvis § 4, stk. 3, fører derhen, fx ved en identifikation som kritisk enhed efter CER-loven. En vigtig enhed mødes af et reaktivt tilsyn efter § 24, der sættes i gang af tegn på, at noget ikke er i orden. Forskellen er beskrevet i væsentlig eller vigtig enhed.
Grænserne for størrelse finder I i § 5. Om at regne efter, også når virksomheden indgår i en koncern, se størrelsesberegningen efterprøvet.
Tilsynet
Kemikalierne i bilag 2, pkt. 3, hører under Styrelsen for Samfundssikkerhed (bekendtgørelse nr. 620/2025, § 12, nr. 3). Styrelsens side om tilsyn beskriver ikke, hvordan eller hvornår private virksomheder i kemikaliesektoren får tilsyn.
Hvad en audit dækker hos en distributør
Det følgende er praksis. Hos en distributør er der som regel ingen procesanlæg at tage hensyn til. Til gengæld er forretningen bygget på systemer, der holder styr på varer, kunder og transport. Auditten vægter derfor typisk:
- Lager- og ordresystemet. Hvem har adgang, hvordan er det sikret, og hvordan genskabes det efter et nedbrud? Kan I levere, hvis systemet er nede en dag?
- Sporbarhed. Oplysninger om batch, sikkerhedsdatablade og kunder bør kunne findes hurtigt. Integriteten af de data er et sikkerhedsspørgsmål, også selv om de ikke er hemmelige.
- Transport og eksterne parter. Vognmænd, speditører og lagerhoteller kan have adgang til jeres systemer eller udveksle data med dem. Forsyningskæden er et selvstændigt punkt i § 6, stk. 1, nr. 4, og audit af den del er beskrevet i audit af leverandørstyringen.
- Kontinuitet. Hvad sker der, hvis ordre- og lagersystemet er utilgængeligt? Er der en manuel procedure, og er den øvet? Se audit af beredskabsplanen.
- Adgang og konti. Lagermedarbejdere på skift, vikarer og fælles terminaler giver særlige udfordringer for adgangsstyringen.
Hele virksomheden er med. Kravene i § 6 rækker ud over lageret til alt, hvad virksomheden driver sig med, også bogholderi, mail og hjemmeside.
Når I både distribuerer og blander
Nogle distributører omemballerer, fortynder eller blander. Det kan ændre, hvilken del af bilaget aktiviteten falder under. Vurderingen afhænger af REACH-definitionerne og bør skrives ned med begrundelse, så en auditor eller myndigheden kan se, hvordan I er nået frem til den.
Leverandørens og kundens forventninger
Det følgende er praksis. En distributør står midt i en kæde. Producenterne, I køber fra, og kunderne, I sælger til, kan selv være omfattet af NIS 2 og stille krav til jer om sikkerhed og underretning. De krav kommer typisk via kontrakter og spørgeskemaer. Auditten kan samle dem og se, om I kan opfylde det, I har skrevet under på. Hvordan man svarer, når kunden er omfattet, er beskrevet i jeres kunde er omfattet af NIS 2.
Farlige stoffer og fysisk sikkerhed
Lageret kan rumme stoffer, der kræver særlig fysisk sikring efter anden lovgivning. Den lovgivning ligger uden for denne artikel. Det, NIS 2-auditten ser på, er de net- og informationssystemer, der understøtter lageret, fx adgangskontrol, overvågning og registrering af beholdninger.
Hvad det kræver, og hvad det koster at lade være
At vurdere, om I er omfattet, kræver bilagets tekst, REACH-definitionerne og jeres egne tal. Arbejdet kræver en person med indsigt i både forretningen og regnskabet. Er I omfattet, gælder kravene i §§ 6 og 7 og pligten til at registrere sig.
Konkluderer I uden dokumentation, at I ikke er omfattet, står I uden grundlag, hvis myndigheden spørger. Konkluderer I det modsatte uden at have regnet efter, bruger I måske kræfter på et regelsæt, der ikke gælder.
Det skal I lade være med
- At gå ud fra, at NIS 2 kun gælder producenter · distribution står i bilaget.
- At skrive REACH-definitionerne af fra en sekundær kilde · læs forordningen selv.
- At afgrænse auditten til lageret · hele virksomheden er med.
Det skal auditten kunne vise
- ☐ En skriftlig vurdering af, om virksomheden er omfattet, med henvisning til bilag 2, pkt. 3, og størrelsesgrænserne.
- ☐ Registrering hos myndigheden, hvis virksomheden er omfattet.
- ☐ Risikovurdering af lager-, ordre- og transportsystemer.
- ☐ En kontinuitetsplan for levering, når ordresystemet er nede.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4, 5, 6 og 24 samt bilag 2, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 12, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2: Tilsyn og vejledning pr. sektor i Danmark, https://samsik.dk/nis2/sektoransvarlige-myndigheder/, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Registreringen efterprøvet · Hele CVR-nummeret er med
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
