Et dansk luftfartsselskab, der flyver kommercielt, kan være omfattet af NIS 2-loven og samtidig af forordning (EU) 2023/203, som på dansk kaldes del-IS og på engelsk Part-IS. De to regelsæt har hver sit formål, og vi har ikke fundet en dansk myndighedstekst, der afklarer, hvordan de forholder sig til hinanden.
En audit kan godt dække begge, hvis den holder kriterierne adskilt. Artiklen beskriver de to regelsæt, hvad der er usikkert, og hvordan auditten kan bygges op.
NIS 2: hvem er omfattet?
Lovens bilag 1, pkt. 2, litra a, omfatter luftfartsselskaber som defineret i forordning (EF) nr. 300/2008, artikel 3, nr. 4, der anvendes til kommercielle formål. Trafikstyrelsen skriver, at selskabet for at være omfattet i Danmark skal have dansk CVR-nummer og en dansk AOC, det certifikat, et luftfartsforetagende driver på, efter forordning 965/2012. Myndigheden er Trafikstyrelsen, jf. § 7 i bekendtgørelse nr. 620/2025.
Som bilag 1-type kan selskabet være væsentligt eller vigtigt efter størrelse. Kravene står i §§ 6 og 7, og underretningspligten i §§ 12 og 13.
Del-IS: hvad forordningen kræver
Forordning 2023/203 fastsætter krav til at afdække og styre informationssikkerhedsrisici med potentiel indvirkning på flyvesikkerheden, og til at opdage og reagere på hændelser. Den gælder bl.a. luftfartsforetagender under del-ORO i forordning 965/2012, med visse undtagelser, og den finder anvendelse fra 22. februar 2026.
Organisationen skal have et ledelsessystem for informationssikkerhed (IS.I.OR.200). Det omfatter bl.a. en politik, risikovurdering, intern og ekstern indberetning, krav til personale, registrering og overvågning af egen overholdelse med feedback til den teknisk og økonomisk ansvarlige person.
Vi har læst den oprindelige tekst af forordningen. En konsolideret udgave med eventuelle senere ændringer er ikke kontrolleret.
To formål
Forenklet sagt handler del-IS om informationssikkerhed, der kan påvirke flyvesikkerheden. NIS 2 handler om sikkerheden i de net- og informationssystemer, virksomheden bruger til sine operationer og tjenester, og om hændelser, der rammer leveringen af tjenesterne. De to kan overlappe, fx ved systemer til flyveplanlægning og vedligeholdelse. De kan også pege i hver sin retning, fx ved et bookingsystem, som er centralt for NIS 2, men måske ikke for flyvesikkerheden. Det sidste er et tænkt eksempel.
Hvad der er usikkert
Del-IS artikel 5 siger, at en organisation, der opfylder sikkerhedskrav efter artikel 14 i direktiv 2016/1148 (NIS 1), som er ækvivalente, anses for at opfylde kravene i del-IS. Kommissionen kan udstede retningslinjer om ækvivalens. Hvordan den henvisning til NIS 1 skal læses nu, hvor NIS 2 har afløst det direktiv, har vi ikke undersøgt.
Vi har heller ikke fundet en dansk myndighedstekst om forholdet mellem NIS 2-loven og del-IS. Lovens § 1, stk. 3, om sektorspecifikke EU-retsakter bruger vi derfor ikke på del-IS. Trafikstyrelsen skriver, at den arbejder for at skabe klarhed for transportsektoren om, hvordan reglerne hænger sammen. Indtil det foreligger, er det sikreste at regne med, at begge regelsæt kan gælde, og at myndigheden afklarer forholdet.
Én audit med to sæt kriterier
Det følgende er praksis. En samlet audit kan spare tid for de personer, der skal interviewes, og for de systemer, der skal ses. Forudsætningen er, at rapporten holder kriterierne adskilt:
- Et afsnit om afgrænsning for hvert regelsæt: hvilke systemer og processer er med under NIS 2, og hvilke under del-IS?
- For hvert fund: hvilket krav i hvilket regelsæt det knytter sig til.
- Et fælles afsnit for det, der dækker begge, fx risikovurdering, hændelseshåndtering og adgangsstyring, med henvisning til begge sæt kriterier.
- Ingen konklusion om, at det ene regelsæt opfylder det andet.
Hændelser er et særligt punkt. Efter NIS 2-loven sendes en tidlig varsling inden 24 timer, en underretning inden 72 timer og en endelig rapport inden en måned. Del-IS har sine egne regler om indberetning, som vi ikke gengiver her. En audit kan se, om procedurerne for de to spor er beskrevet hver for sig, og om det er klart, hvem der underretter hvem. Hvordan de tre frister auditeres, står i audit af varsling og rapportering.
Andre regler i luftfarten
Trafikstyrelsen nævner også EU-forordning 2019/1583 på securityområdet, suppleret af det nationale program, styrelsen kalder NASP. Vi har ikke læst forordningen og behandler den ikke her. Hvordan sektorregler og NIS 2 generelt skilles ad i en audit, står i NIS2 og sektorlovgivning.
Hvad det kræver, og hvad det koster at lade være
En samlet audit kræver en auditor, der kan arbejde med begge sæt kriterier, eller to, der koordinerer. Den kræver også en afgrænsning, der er skrevet ned, før auditten begynder.
Uden adskilte kriterier kan rapporten komme til at antyde, at det ene regelsæt dækker det andet. Det har vi ingen dansk kilde for, og en myndighed kan se anderledes på det.
Det skal I lade være med
- At skrive, at del-IS opfylder NIS 2 eller omvendt · ingen dansk kilde siger det.
- At slå de to hændelsesprocedurer sammen uden at kontrollere fristerne · reglerne er forskellige.
- At læse ækvivalensreglen i artikel 5 som afklaret · den henviser til NIS 1.
Det skal auditten kunne vise
- ☐ Om selskabet er omfattet af NIS 2, med CVR-nummer, AOC og størrelse.
- ☐ En afgrænsning for hvert regelsæt.
- ☐ Fund knyttet til et bestemt krav i et bestemt regelsæt.
- ☐ Hændelsesprocedurer for begge spor med klare roller.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 1, 6, 7, 12 og 13 samt bilag 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 7, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2023/203, artikel 1, 2, 5 og 16 samt bilag II, https://publications.europa.eu/resource/celex/32023R0203, læst 12. november 2026.
- Trafikstyrelsen, NIS 2 for transportsektoren, https://www.trafikstyrelsen.dk/cyber/nis-2-for-transportsektoren, læst 12. november 2026.
- Trafikstyrelsen, Regler for cybersikkerhed i transportsektoren, https://www.trafikstyrelsen.dk/cyber/regler-for-cybersikkerhed-i-transportsektoren, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Afgrænsning af NIS2-auditten · Audit af hændelseshåndteringen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
