Har jeres virksomhed aktiviteter under energi-, tele- eller finanslovgivningen og samtidig aktiviteter i en NIS 2-sektor, skal I overholde begge regelsæt. Auditten skal derfor først fastslå, hvilke tjenester og systemer der hører under hvilken lov, og derefter måle hver del efter sine kriterier.
Grænsen trækkes af lovens ord “i det omfang”. Hvordan den trækkes i praksis, er en tolkning, og energi-, tele- og finanslovenes egne krav er ikke gennemgået i denne artikel.
Det, loven siger
NIS 2-lovens § 1, stk. 2 undtager tre grupper. Loven finder ikke anvendelse på enheder, i det omfang de hører under energisektorens beredskabslov eller telesektorens lov om sikkerhed og beredskab. Den finder heller ikke anvendelse på enheder, der er udpeget efter § 333, stk. 1 i lov om finansiel virksomhed.
§ 1, stk. 3 tilføjer en generel regel. Loven gælder ikke, hvor sektorspecifikke EU-retsakter og den nationale gennemførelse af dem har mindst samme virkning som lovens §§ 6, 12, 13 og 15, altså foranstaltningerne og underretningspligterne.
Det, vejledningerne tilføjer
Styrelsen for Samfundssikkerhed skriver i både vejledningen om foranstaltningerne og vejledningen om anvendelsesområdet, at en enhed, der leverer ydelser under energi-, tele- eller finanslovgivningen og samtidig i en NIS 2-sektor, ud over at overholde sektorlovgivningen også skal overholde NIS 2-loven.
Læst sammen med lovens “i det omfang” knytter undtagelsen sig til aktiviteten. Det er en tolkning. En virksomhed kan have én tjeneste, der er reguleret af sektorens egen lov, og en anden, der falder under NIS 2-loven. Begge regelsæt gælder så samtidig, hver for sit område.
Et tænkt eksempel
Et tænkt eksempel viser, hvad det betyder for auditten. En virksomhed driver et fibernet, som i eksemplet antages at være reguleret efter telelovgivningen, og leverer desuden administrerede IT-tjenester til erhvervskunder. Den sidste aktivitet er en NIS 2-tjeneste.
En NIS2-audit skal her måle de administrerede tjenester efter NIS 2-loven og de danske vejledninger. Fibernettet hører under en anden lov med sine egne krav og sit eget tilsyn. Om de krav dækker det samme, eller om noget af NIS 2-loven også rammer fibernettet, er ikke afgjort i eksemplet. Det kræver en læsning af telelovgivningen, som ligger uden for denne artikel.
Sådan bygges kriterierne
Fremgangsmåden nedenfor er praksis.
Kortlæg tjenesterne. Skriv hver tjeneste ned med den lov, den hører under, og den myndighed, der fører tilsyn med den. Er der tvivl om, hvor en tjeneste hører hjemme, så skriv tvivlen ned. Den afklaring ligger hos virksomheden og eventuelt dens rådgiver om sektorreglerne.
Del systemerne. Find de systemer, der kun bruges af den ene slags tjeneste, og dem, der deles. Deles identitet, netværk, backup eller administratorer, berører en mangel i det fælles begge regelsæt.
Skriv to sæt kriterier. NIS 2-delen måles efter § 6, § 7 og §§ 12 til 15 og vejledningerne. Sektordelen måles efter sektorens egen lov, hvis den er med i opdraget. Er den ikke med, skal rapporten sige det.
Kontrollér underretningen. Har tjenesterne hver sin myndighed og hver sine frister, skal hændelsesproceduren vide, hvornår en hændelse rammer den ene, den anden eller begge. Hvordan NIS 2-lovens egne frister afprøves, står i audit af varsling og rapportering.
Afgrænsningen generelt er beskrevet i afgrænsning af NIS2-auditten. Er I også udpeget som kritisk enhed, kommer et tredje regelsæt til, som beskrevet i både NIS 2 og CER.
Hvem auditten kræver
En auditor, der kender NIS 2-loven, kender ikke nødvendigvis energi-, tele- eller finansreglerne. Skal begge dele med, bør opdraget sige, hvem der dækker hvad, eller også bør sektordelen stå udenfor og beskrives som udeladt. Hvad I bør spørge en kommende auditor om, står i artiklen om at vælge auditor.
Hvad det kræver, og hvad det koster at lade være
Kortlægningen kræver kendskab til virksomhedens tjenester og til de love, de hører under. Den tager længst tid, hvor tjenesterne deler systemer, fordi grænsen så også skal trækkes i selve driften.
Springer I kortlægningen over, risikerer auditten at måle en sektorreguleret tjeneste efter NIS 2-loven eller at overse en NIS 2-tjeneste, fordi virksomheden opfatter sig som reguleret af sin sektorlov. Begge fejl giver ledelsen et forkert billede af, hvilke krav den står inde for.
Det skal I lade være med
- At gå ud fra, at sektorloven fritager hele virksomheden · undtagelsen gælder “i det omfang”.
- At måle en sektorreguleret tjeneste efter NIS 2-kriterier · den har sine egne regler.
- At overse de systemer, tjenesterne deler · en mangel dér rammer begge regelsæt.
Det skal auditten kunne vise
- ☐ Hver tjeneste med den lov og den myndighed, den hører under.
- ☐ Systemer, der deles mellem sektorregulerede tjenester og NIS 2-tjenester.
- ☐ Kriterierne for NIS 2-delen og, hvis den er med, for sektordelen.
- ☐ En hændelsesprocedure, der kender begge sæt myndigheder og frister.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres tjenester op i to kolonner, sektorlov og NIS 2-loven, og markér de systemer, der går på tværs.
Læs også: Både NIS 2 og CER · Hele CVR-nummeret er med
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
