Registreringen på virk.dk er ikke en engangsopgave. NIS 2-loven kræver, at oplysningerne holdes ajour, og at ændringer meldes inden for en kort frist, og derfor bør en audit kontrollere, at det, der står i registreringen, stadig passer med virkeligheden.
Kontrollen er enkel, men den overses let. Fejl i registreringen er strafbare, og tilsynsmyndigheden har sagt, at den fører tilsyn med registreringerne.
Hvad der skal registreres
§ 10 gælder væsentlige og vigtige enheder og enheder, der leverer domænenavnsregistreringstjenester. De skal registrere navn, adresse og ajourførte kontaktoplysninger, herunder e-mailadresser, IP-intervaller og telefonnumre. De skal oplyse sektor og delsektor og en liste over andre EU-lande, hvor de leverer tjenester.
§ 9 gælder de digitale enhedstyper, fx udbydere af cloud, datacentre og administrerede tjenester. De registrerer navn, hovedforretningssted og andre forretningssteder i EU eller deres repræsentant, sektor, delsektor og type, ajourførte kontaktoplysninger med IP-intervaller og EU-landene med tjenester.
Fristerne
Enheder under § 10 skal registrere sig senest 2 uger efter, at de bliver omfattet, og melde ændringer senest 2 uger efter ændringen. Enheder under § 9 har 3 måneder for begge dele.
For de enheder, der var omfattet fra starten, var fristen 1. oktober 2025 (§ 33, stk. 3). Bødebestemmelsen i § 32, stk. 1, nr. 1 nævner både § 9 og § 10.
Ændringsfristen er den, der er lettest at overse. Et nyt telefonnummer til vagten, en ny IP-adresseblok fra en ny internetleverandør eller en ny sektor efter en ny tjeneste skal meldes inden for fristen. Registreringsdatoen er også et udgangspunkt, når I planlægger den første audit.
Hvad registreringen betyder, og hvad den ikke betyder
Registreringen foregår på en fælles portal på virk.dk, oplyser vejledningen om anvendelsesområdet. Registreringen har ingen betydning for, om en enhed er omfattet. En fejlregistrering gør ikke en enhed omfattet, og en manglende registrering fritager ikke. En enhed i flere sektorer registrerer sig én gang med alle sine sektorer.
Fødevarestyrelsen bekræfter på sin side om NIS 2, at fødevarevirksomheder registrerer sig via virk.dk og også underretter om hændelser den vej. Og på tilsynssiden skriver Styrelsen for Samfundssikkerhed, at registreringerne også bliver kontrolleret.
Det, auditten efterprøver
At kontrollere registreringen er praksis afledt af kravet om ajourførte oplysninger og ændringsfristen. Kontrollen kan gennemføres på et par timer, hvis registreringen kan trækkes ud.
Udtræk. Bed om en kopi af den aktuelle registrering med dato for seneste ændring.
Sektor og delsektor. Holdes op mod den vurdering af, om og hvordan enheden er omfattet. Er der kommet nye tjenester, kan der mangle en sektor. Selve vurderingen er efterprøvet i størrelsesberegningen efterprøvet.
Kontaktoplysninger. Ring og skriv til dem. Det er den enkleste test af, om myndigheden kan nå jer, når den skal. Går mailen til en person, der er stoppet, eller telefonen til et nummer, ingen tager uden for arbejdstid, er det et fund.
IP-intervaller. Sammenlign med de adresser, jeres internetleverandører og hostingleverandører har tildelt jer, og med de adresser, jeres tjenester faktisk bruger. Ændrer et leverandørskifte adresserne, skal registreringen følge med.
EU-lande. Leverer I tjenester i andre lande, skal de stå i registreringen. Er der kommet nye kunder i nye lande, kan listen være forældet.
Ændringsproceduren. Findes der en procedure for, hvem der opdaterer registreringen, og hvad der udløser en opdatering? Uden en procedure afhænger ajourføringen af, at nogen husker det.
Sammenhængen med resten af auditten
Registreringen hænger sammen med beredskabet. Det er nærliggende, at det er de registrerede kontaktoplysninger, der bruges, når myndigheden eller CSIRT’en vil have fat i jer om en hændelse eller en trussel. Det er en antagelse og ikke beskrevet i kilderne. En registrering med forældede oplysninger svækker det beredskab, som audit af hændelseshåndteringen ellers kontrollerer.
For digitale enheder hænger registreringen sammen med vurderingen af hovedforretningsstedet. Se hovedforretningssted for en digital enhed.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver adgang til registreringen, en liste over jeres IP-adresser og tjenester og et par telefonopkald. Procedureændringen, der eventuelt følger, er lille: en ansvarlig og en liste over hændelser, der udløser en opdatering.
Uden kontrollen ligger der måske en registrering fra 2025, som ikke længere passer. Er ændringerne ikke meldt inden for fristen, er det en overtrædelse af § 9 eller § 10, og den bliver synlig, netop når nogen har brug for at nå jer.
Det skal I lade være med
- At se registreringen som afsluttet · ændringer skal meldes inden for fristen. Registreringsdatoen er også et udgangspunkt, når I planlægger den første audit.
- At registrere en generel indbakke ingen læser · myndigheden skal kunne nå jer.
- At glemme IP-intervallerne ved et leverandørskifte · de er en del af oplysningerne.
Det skal auditten kunne vise
- ☐ Den aktuelle registrering med dato for seneste ændring.
- ☐ Sektorer og delsektorer holdt op mod enhedens tjenester.
- ☐ Kontaktoplysninger, der er testet og virker.
- ☐ IP-intervaller, der svarer til de adresser, I bruger.
- ☐ En procedure for ajourføring med ansvarlig og udløsende hændelser.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2-tilsyn, læst 12. november 2026.
- Fødevarestyrelsen, Cybersikkerhed (NIS 2), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk jeres registrering ud, og ring til det telefonnummer, der står i den.
Læs også: Væsentlig eller vigtig enhed · Datterselskaber i andre EU-lande
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
