En producent af medicinsk udstyr eller in vitro-diagnostisk udstyr er som udgangspunkt omfattet af NIS 2-lovens bilag 2 og dermed vigtig enhed. Fremstiller virksomheden udstyr, der står på EU’s liste over kritisk medicinsk udstyr til folkesundhedsmæssige krisesituationer, hører den i stedet under bilag 1, hvor den kan være væsentlig efter størrelse.
Hvilken vej I er omfattet ad, påvirker tilsynets form. Auditten gælder i begge tilfælde virksomhedens egne systemer.
Bilag 2: den almindelige indgang
Bilag 2, pkt. 5, litra a, omfatter enheder, der fremstiller medicinsk udstyr som defineret i forordning (EU) 2017/745, artikel 2, nr. 1, og in vitro-diagnostisk medicinsk udstyr som defineret i forordning (EU) 2017/746, artikel 2, nr. 2. Undtaget er enheder, der fremstiller det medicinske udstyr, som er nævnt i direktivets bilag I, punkt 5, femte led. Lovens bilag bruger her direktivets ordlyd.
Producenter, der kun rammer bilag 2, er dermed vigtige, så længe § 4, stk. 3, ikke gør dem væsentlige. Sådan læser vi samspillet mellem §§ 4 og 5.
Bilag 1: udstyr, der anses for kritisk
Bilag 1, pkt. 5, femte led, omfatter enheder, der fremstiller medicinsk udstyr, som anses for kritisk i en folkesundhedsmæssig krisesituation, efter listen i forordning (EU) 2022/123, artikel 22.
Som bilag 1-type kan producenten være væsentlig enhed, hvis den opfylder størrelsesgrænserne i § 4, stk. 1, og ellers vigtig efter § 5. Om listen efter forordning 2022/123 er udarbejdet, og hvad den indeholder, har vi ikke undersøgt. Undersøg den selv, eller spørg myndigheden, hvis jeres produkter kan være på den.
Hvad forskellen betyder
Kravene i §§ 6 og 7 er de samme for væsentlige og vigtige enheder. Forskellen ligger i tilsynet. En væsentlig enhed er under løbende tilsyn efter § 21 og kan få regelmæssige audits. Hos en vigtig enhed griber myndigheden ind efter § 24, hvis noget tyder på, at reglerne ikke følges. Se væsentlig eller vigtig enhed.
For auditten betyder det primært, hvor ofte det er rimeligt at gennemgå, og hvor meget dokumentation der bør ligge klar. Om intervallet mellem audits, se hvor ofte NIS2-auditten gentages.
Myndigheden er den samme
Efter bekendtgørelse nr. 620/2025, § 4, er Sundhedsdatastyrelsen kompetent myndighed både for sundhed i bilag 1, pkt. 5, og for fremstilling af medicinsk udstyr og in vitro-diagnostik i bilag 2, pkt. 5, litra a. Uanset vejen ind er det altså samme myndighed.
Cyberrobusthedsforordningen gælder ikke udstyret
Forordning (EU) 2024/2847, forordningen om cyberrobusthed (CRA), gælder ikke produkter med digitale elementer, som forordning 2017/745 eller 2017/746 finder anvendelse på (CRA artikel 2, stk. 2, litra a og b). Udstyret, I fremstiller, falder altså uden for CRA. Hvordan andre fabrikanter skal holde de to regelsæt ude fra hinanden, står i NIS 2 og CRA i fremstilling.
Auditten gælder virksomheden
En NIS2-audit ser på virksomhedens net- og informationssystemer: udviklingsmiljøer, produktionsstyring, kvalitetssystemets IT, kundedata, mail og administration. Den tester ikke det medicinske udstyr og udtaler sig ikke om dets overensstemmelse.
Det følgende er praksis. For en producent er nogle systemer særligt vigtige at have med i risikovurderingen: systemer med konstruktionsdata, systemer, der styrer produktion og frigivelse, og systemer, der modtager data fra udstyr i drift, hvis det sker. Kravet om sikkerhed ved erhvervelse, udvikling og vedligeholdelse står i § 6, stk. 1, nr. 5, og er beskrevet i sikkerhed ved anskaffelse.
Kvalitetssystemet og NIS 2
Producenter af medicinsk udstyr arbejder med et kvalitetssystem og audits efter deres egne regler. Vi har ikke læst de regler til denne artikel og skriver ikke, hvad der kan genbruges. Det følgende er praksis. En NIS2-audit kan se på, om de dokumenter, kvalitetssystemet allerede har, fx procedurer for ændringer og leverandører, også dækker net- og informationssystemerne. Gør de det, kan de bruges som bevis. Gør de ikke, er det et fund.
Når produktporteføljen ændrer sig
Det følgende er praksis. Kommer et nyt produkt på markedet, eller ændres listen over kritisk udstyr, kan virksomhedens placering i bilagene ændre sig. Gennemgå vurderingen, når porteføljen ændres, og mindst når auditten gentages. Notér, hvem der har ansvaret for at følge med i listen.
Hvad det kræver, og hvad det koster at lade være
Afklaringen kræver en liste over jeres produkter, en vurdering af, om nogen af dem kan være på listen over kritisk udstyr, og jeres størrelsestal. Resultatet skrives ned med begrundelse.
Vælger I den forkerte indgang, kan I undervurdere tilsynets form og dokumentationsbehovet, eller bruge kræfter på at forberede jer på et tilsyn, der ikke kommer i den form.
Det skal I lade være med
- At gå ud fra, at bilag 2 altid gælder · kritisk udstyr flytter jer til bilag 1.
- At blande NIS2-auditten sammen med udstyrets overensstemmelse · det er to forskellige ting.
- At lade konstruktions- og produktionssystemer ude af risikovurderingen · de er net- og informationssystemer.
Det skal auditten kunne vise
- ☐ En skriftlig vurdering af, om virksomheden hører under bilag 1 eller bilag 2.
- ☐ Beregningen bag status som væsentlig eller vigtig enhed.
- ☐ En risikovurdering, der omfatter konstruktions-, produktions- og kvalitetssystemer.
- ☐ En afgrænsning, der viser, at udstyret selv ikke er en del af NIS2-auditten.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4, 5, 6, 21 og 24 samt bilag 1 og 2, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 4, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
- Forordning (EU) 2024/2847 (cyberrobusthed), artikel 2, https://publications.europa.eu/resource/celex/32024R2847, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Størrelsesberegningen efterprøvet · Afgrænsning af NIS2-auditten · Lægemiddelproducent og NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
