En virksomhed, der forsker i og udvikler lægemidler eller fremstiller farmaceutiske råvarer og præparater, er en af de typer, NIS 2-lovens bilag 1 nævner under sundhed. Om den er væsentlig eller vigtig, afhænger af størrelsen, og Sundhedsdatastyrelsen fører tilsyn.
Lægemiddelbranchen har i forvejen sine egne krav til kvalitetssystem og audits. Samspillet mellem branchens krav og NIS 2 står ikke i noget af det materiale, vi har gennemgået, så det lader artiklen ligge. Den holder sig til lovens afgrænsning og til det, en NIS2-audit dækker.
Bilagets ordlyd
Under sundhed har lovens bilag 1, pkt. 5, to punkter, der rammer lægemiddelområdet direkte:
- Enheder, der udfører forsknings- og udviklingsaktiviteter vedrørende lægemidler som defineret i artikel 1, nr. 2, i direktiv 2001/83/EF.
- Enheder, der fremstiller farmaceutiske råvarer og farmaceutiske præparater, som nævnt i NACE Rev. 2, hovedafdeling C, hovedgruppe 21.
De to indgange er forskellige. Den første knytter sig til en aktivitet og henviser til direktivets definition af et lægemiddel. Den anden knytter sig til branchekoden. En virksomhed kan ramme den ene, den anden eller begge.
Væsentlig eller vigtig
Da lægemidler står i bilag 1, afgør størrelsen efter vores læsning af §§ 4 og 5, om virksomheden bliver væsentlig eller vigtig. Grænserne er gennemgået i størrelsesberegningen efterprøvet.
Det, der skifter, er tilsynet. Den væsentlige virksomhed følges løbende af myndigheden efter § 21, den vigtige først når der er mistanke om mangler efter § 24. Pligterne i §§ 6 og 7 følger med uanset status. Se væsentlig eller vigtig enhed.
Myndigheden
Tilsynet med sundhedsområdet i bilag 1, pkt. 5, ligger hos Sundhedsdatastyrelsen (bekendtgørelse nr. 620/2025, § 4). På sin side om lovkrav peger Sundhedsdatastyrelsen videre til de fælles vejledninger fra Styrelsen for Samfundssikkerhed. En egen NIS 2-vejledning til lægemiddelområdet er ikke dukket op i vores søgning.
Målestokken for en audit bliver dermed §§ 6 og 7 og de fælles vejledninger. Se skal, bør og kan om at gøre dem til kriterier.
Det, vi ikke skriver om
Vi har ikke læst branchens egne regler om kvalitetssystem og audits. Vi skriver derfor ikke, hvad der kan genbruges fra de audits, og heller ikke, om de dækker noget af det, NIS 2 kræver. Den sammenligning bør laves af nogen, der kender begge regelsæt, med teksterne foran sig.
Det, der kan siges ud fra NIS 2-loven alene, er, at kravene gælder virksomhedens net- og informationssystemer, og at hele virksomheden er med, når den er omfattet. Mere om det i hele CVR-nummeret er med.
Hvad en NIS2-audit ser på
Resten af afsnittet beskriver praksis. Auditten følger de ti foranstaltninger i § 6, ledelsesorganets godkendelse og tilsyn efter § 7 og underretningspligten i §§ 12 og 13. I en lægemiddelvirksomhed vil risikovurderingen typisk omfatte systemer med forskningsdata, laboratoriesystemer, systemer, der styrer produktion og frigivelse, og forbindelser til samarbejdspartnere og kontraktproducenter.
Forsyningskæden er nævnt i § 6, stk. 1, nr. 4, og omfatter jeres direkte leverandører og udbydere af tjenester. For en virksomhed med meget udlagt forskning eller produktion er det en stor del af auditten. Se audit af leverandørstyringen.
Når to slags audits mødes
Det følgende er praksis. Har virksomheden i forvejen en fast plan for audits i kvalitetssystemet, kan en NIS2-audit lægges, så den ikke falder samtidig med dem og trækker på de samme personer. Det er planlægning og siger intet om, hvad der kan genbruges. Hvordan en auditplan over flere år bygges, står i auditplan og auditprogram.
Hvis virksomheden er en del af en koncern
Hører virksomheden til en international koncern, skal det afklares, hvordan tallene lægges sammen, og hvilket land der har tilsynet med hvert selskab. Begge dele er gennemgået i NIS2-audit i en koncern og datterselskaber i andre EU-lande. Det følgende er praksis. En koncernfælles IT-afdeling kan betyde, at de samme systemer indgår i flere selskabers vurderinger.
Når virksomheden forsker uden at producere
En virksomhed, der alene forsker i og udvikler lægemidler, rammer den første indgang i bilaget, selv om den ikke har en produktion. Det følgende er praksis. For en sådan virksomhed vil auditten lægge vægten på forskningsdata, adgang for eksterne samarbejdspartnere og de systemer, der bruges til at dele data med dem.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver bilagets tekst, direktivets definition, jeres branchekode og jeres størrelsestal. Den skrives ned med begrundelse.
Uden afgrænsningen kan virksomheden mangle registrering, ledelsens godkendelse og en underretningsprocedure, hvis den er omfattet. Og den kan bruge kræfter på at sammenligne regelsæt uden at have afklaret, om NIS 2 overhovedet gælder.
Det skal I lade være med
- At regne kvalitetssystemets audits for en NIS2-audit · det er ikke belagt.
- At se bort fra forskningsaktiviteten · den er en selvstændig indgang i bilaget.
- At afgrænse auditten til produktionen · hele virksomheden er med.
Det skal auditten kunne vise
- ☐ Hvilken indgang i bilag 1, pkt. 5, virksomheden hører under, hvis nogen.
- ☐ Tallene, der afgør, om virksomheden er væsentlig eller vigtig.
- ☐ En risikovurdering, der omfatter forsknings-, laboratorie- og produktionssystemer.
- ☐ Leverandørstyring, der dækker samarbejdspartnere og kontraktproducenter.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4, 5, 6, 7, 21 og 24 samt bilag 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 4, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Sundhedsdatastyrelsen, Lov- og myndighedskrav, https://sundhedsdatastyrelsen.dk/cybersikkerhed/lovkrav, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Producent af medicinsk udstyr · NIS2-audit hos private sundhedstjenesteydere
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
