Identificeres jeres virksomhed som kritisk enhed, bliver I samtidig væsentlig enhed efter NIS 2-loven, hvor stor eller lille I end er. Sikkerheden i net- og informationssystemerne hører under NIS 2-loven, og CER-loven dækker den øvrige modstandsdygtighed, fx fysisk beskyttelse, så en audit skal holde de to fra hinanden.
Artiklen bygger på CER-loven, som den så ud ved læsning 12. november 2026, og på Styrelsen for Samfundssikkerheds sider om CER fra samme dag. Fordelingen mellem lovene er gengivet efter kilderne. Hvordan grænsen trækkes i et konkret tilfælde, er en tolkning.
De to love
NIS 2-loven og CER-loven bærer begge datoen 6. maj 2025 og har numrene 434 og 433. CER-loven gennemfører EU’s direktiv 2022/2557 om kritiske enheders modstandsdygtighed. Begge trådte i kraft 1. juli 2025.
CER-loven er ændret ved en lov af 27. januar 2026 om beskyttelsesrum og CER-loven. Ændringen af CER-loven består i, at lovens bilag 1 er erstattet af et nyt. Paragrafferne, der omtales nedenfor, er ikke ændret.
Lovene er koblet sammen to steder. I NIS 2-loven er det bestemmelsen om enheder, der er væsentlige uanset størrelse (§ 4, stk. 3, nr. 3), som tager de kritiske enheder med. CER-lovens § 1, stk. 2 siger, at CER-loven ikke finder anvendelse på forhold, der er omfattet af NIS 2-loven.
Hvordan styrelsen forklarer fordelingen
Styrelsens side med spørgsmål og svar om CER, opdateret 28. september 2026, forklarer det sådan. En kritisk enhed, der er omfattet af NIS 2-loven og har fastsat passende foranstaltninger for at styre risici ved sine net- og informationssystemer, skal ikke også fastsætte modstandsdygtighedsforanstaltninger for de systemer efter CER-loven. Den skal fortsat opfylde de krav i CER-loven, der går ud over NIS 2-loven.
Siden oplyser også, at energisektoren er gennemført ved en særskilt lov og ikke er omfattet af CER-loven. Tidsplanen på styrelsens side nævner desuden, at kritiske enheder inden for bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur er omfattet af andre regler og ikke skal leve op til CER-lovens §§ 4 til 9 og 14 til 16.
Det, CER-loven kræver ud over NIS 2
CER-lovens § 5 kræver en risikovurdering af alle relevante risici, der kan forstyrre leveringen af de væsentlige tjenester, også naturlige og menneskeskabte risici og afhængigheder af andre sektorer. Den skal være foretaget 9 måneder efter, at enheden er orienteret om identifikationen, og opdateres mindst hvert fjerde år.
§ 6 kræver passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger. Bestemmelsen nævner blandt andet forebyggelse, fysisk beskyttelse af lokaler og kritisk infrastruktur, risiko- og krisestyring, genopretning og forretningskontinuitet, medarbejdersikkerhed med procedurer for baggrundskontrol og bevidsthed hos personalet gennem kurser, informationsmateriale og øvelser. Enheden skal have og anvende en plan for modstandsdygtighed.
Efter § 8 skal myndigheden have besked om hændelser, der i betydelig grad forstyrrer de væsentlige tjenester eller kan gøre det. Fristen er et døgn fra det øjeblik, enheden opdager hændelsen, med forbehold for det, der operationelt er umuligt, og meldingen må ikke trække unødigt ud. Beder myndigheden om det, følger en udførlig rapport inden for en måned.
Hvornår kravene gælder
Efter CER-lovens § 3, stk. 5 orienterer ministeren den kritiske enhed inden for en måned efter identifikationen, og §§ 6 til 9 gælder 10 måneder efter orienteringen. Styrelsens tidsplan siger, at de kompetente myndigheder blev udpeget i januar 2026, og at de i andet halvår 2026 identificerer og partshører potentielle kritiske enheder i deres sektorer. Om en bestemt virksomhed er identificeret, fremgår ikke af de offentlige sider.
Efter ordlyden er I væsentlig enhed efter NIS 2-loven fra identifikationen, og NIS 2-loven har ingen tilsvarende frist på 10 måneder. Det er en læsning af lovteksten. Hvad en audit kan nå i den mellemliggende periode, står i udpeget som kritisk enhed.
Sådan deles auditten
Fremgangsmåden er praksis. Første skridt er at skrive ned, hvilke dele af modstandsdygtigheden der handler om net- og informationssystemer, og hvilke der handler om andet. De første måles efter NIS 2-lovens § 6 og vejledningerne. De sidste efter CER-lovens §§ 5 til 8.
Nogle områder har to sider. Krisestyring, genopretning og baggrundskontrol står i begge love, og en fælles krisestyringsøvelse kan afprøve begge dele. Her kontrollerer auditten, at planerne hænger sammen, så det samme beredskab ikke er beskrevet to gange med forskellige roller. Baggrundskontrollen efter de forskellige regelsæt er sammenlignet i baggrundskontrol efter tre regelsæt.
Underretningen kræver særlig opmærksomhed. En hændelse kan ramme både systemer og fysisk drift og dermed udløse meldinger efter begge love til hver sin myndighed. De tre NIS2-frister og prøven af dem er beskrevet i 24 timer, 72 timer og en måned.
Hvad det kræver, og hvad det koster at lade være
En opdelt audit kræver, at både den IT-sikkerhedsansvarlige og den, der har ansvaret for fysisk sikkerhed og beredskab, deltager. Den kræver også, at risikovurderingerne efter de to love kan lægges side om side.
Uden opdelingen risikerer I at bygge to beredskaber, der ikke kender hinanden, eller at overse et CER-krav, fordi NIS2-arbejdet virkede dækkende. Begge dele viser sig først under en hændelse, der rammer både IT og den fysiske drift.
Det skal I lade være med
- At lade NIS2-arbejdet stå for CER-kravene · fysisk beskyttelse og planen for modstandsdygtighed hører under CER-loven.
- At beskrive krisestyringen to gange · planerne bør hænge sammen.
- At regne med CER-fristen for NIS 2-kravene · NIS 2-loven har ikke CER-lovens frist på 10 måneder.
Det skal auditten kunne vise
- ☐ Datoen for orienteringen om identifikationen, hvis den er modtaget.
- ☐ En opdeling af foranstaltningerne efter NIS 2-loven og CER-loven.
- ☐ Sammenhæng mellem krisestyring, genopretning og baggrundskontrol i de to sæt planer.
- ☐ En hændelsesprocedure med begge myndigheder og deres frister.
Kilder
- Retsinformation, lov nr. 433 af 6. maj 2025 (CER-loven), læst 12. november 2026.
- Retsinformation, lov om ændring af lov om beskyttelsesrum og CER-loven af 27. januar 2026, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hvornår træder CER-loven i kraft?, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Spørgsmål og svar om CER, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres beredskab op i to kolonner, systemerne og det fysiske, og se efter, hvor de to planer har samme rolle med forskellige navne.
Læs også: Energi, tele eller finans ved siden af en NIS 2-sektor · Væsentlig eller vigtig enhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
