Kommissionens forslag fra januar 2026 til ændring af NIS 2-direktivet indfører en ny størrelseskategori, small mid-cap. Efter forslaget skal virksomheder i bilag I, der er small mid-caps, som hovedregel være vigtige enheder, og først når de overstiger grænserne for kategorien, bliver de væsentlige.
Forslaget er ikke vedtaget. Dansk ret er uændret, og en virksomhed, der i dag er væsentlig enhed efter NIS 2-loven, er det stadig. Artiklen beskriver forslaget og hvad det betyder for planlægningen af en audit.
Hvad forslaget siger
Forslaget, COM(2026) 13, bygger kategorien på Kommissionens henstilling (EU) 2025/1099 af 21. maj 2025. Ifølge forslagets betragtning 2 skal bilag I-enheder, der er small mid-cap enterprises, som hovedregel udpeges som vigtige enheder (“as a main rule be designated as important entities”). Den foreslåede artikel 3, stk. 1, litra a, gør bilag I-enheder væsentlige, når de overstiger lofterne for small mid-caps (“exceed the ceilings for small mid-cap enterprises”).
Vi har læst den engelske tekst; oversættelsen er vores egen. Vi har ikke læst henstilling 2025/1099 og gengiver ikke dens grænser.
Hvad det kan betyde
Efter NIS 2-loven i dag afgøres det af størrelsesgrænserne i § 4, stk. 1, om en bilag 1-enhed er væsentlig. Grænserne er beskrevet i størrelsesberegningen efterprøvet. Forslaget vil flytte grænsen for, hvornår en bilag I-enhed bliver væsentlig, op til lofterne for small mid-caps. Nogle virksomheder, der i dag er væsentlige, kan derfor blive vigtige, hvis forslaget vedtages i den form og gennemføres i dansk ret.
Det ændrer tilsynet. Væsentlige enheder følges løbende efter § 21. Vigtige enheder møder først tilsynet efter § 24, når noget peger på mangler. Pligterne i §§ 6 og 7 skifter ikke med status. Se væsentlig eller vigtig enhed.
En virksomhed, der bliver vigtig, slipper altså ikke for kravene. Den får et andet tilsyn.
Status pr. 12. november 2026
Europa-Parlamentets Legislative Observatory angav ved vores opslag den 12. november 2026, at forslaget afventer en beslutning i udvalget (“Awaiting committee decision”). Det ansvarlige udvalg er ITRE. Der foreligger et udkast til betænkning fra 24. september 2026 og ændringsforslag fra 13. oktober 2026. Den vejledende dato for plenarmøde ved førstebehandlingen er 8. marts 2027.
Teksten kan ændre sig, før den vedtages. Den skal derefter gennemføres i dansk ret. Indtil da er det NIS 2-loven, der gælder.
Hvad det betyder for en audit nu
Det følgende er praksis.
Mål efter gældende ret. En audit i dag måler mod NIS 2-loven. Hvis I er væsentlig enhed i dag, er det den status, auditten bygger på.
Hold dokumentationen. Selv hvis I senere bliver vigtig enhed, gælder kravene i § 6 stadig, og ledelsesorganet skal godkende og føre tilsyn efter § 7. Dokumentation, der viser, at foranstaltningerne virker, er ikke spildt. Lovbemærkningerne siger om vigtige enheder, at de ikke bør være forpligtet til systematisk at dokumentere overholdelsen. Det betyder ikke, at de kan undvære dokumentation, når et tilsyn spørger.
Overvej hyppigheden, når status ændres. Bliver forslaget vedtaget og gennemført, kan det være en anledning til at se på, hvor ofte en ekstern audit er nødvendig. Om at vælge intervallet, se hvor tit en NIS2-audit gentages.
Skriv beregningen ned. Når grænserne ændres, skal størrelsesberegningen laves igen. En dateret beregning i dag gør det lettere at se, hvad der ændrer sig.
Det samme forslag om certifikater
Forslaget fra januar 2026 indeholder også en mulighed for, at medlemsstaterne kan kræve et certifikat for cybersikkerhedsniveau. Den del er beskrevet i forslaget fra januar 2026 om certifikat.
Hvis I er vigtig enhed allerede
Er virksomheden i dag vigtig enhed, ændrer forslaget efter sin ordlyd ikke den status. Forslaget handler om, hvornår bilag I-enheder er væsentlige. Det følgende er praksis. Har I ingen bilag I-aktiviteter, rammer forslagets regler om small mid-caps efter ordlyden ikke jer. Forslagets andre dele kan stadig gøre det. Læs forslaget fra januar 2026 om certifikat for den anden store ændring.
Bliver forslaget vedtaget, vil Danmark skulle gennemføre det inden for den frist, direktivet fastsætter. Følg derfor også med i, om der kommer et dansk lovforslag.
Hvad det kræver, og hvad det koster at lade være
Opgaven er at have én person, der holder øje med sagen i Parlamentet og Rådet, og en størrelsesberegning, der hurtigt kan laves om. Det kræver ingen ændringer i dag.
Sænker I ambitionen nu i forventning om at blive vigtig enhed, kan I stå med mangler, hvis forslaget ændres eller forsinkes, eller hvis I alligevel ender som væsentlig enhed.
Det skal I lade være med
- At planlægge efter forslaget, som var det vedtaget · dansk ret er uændret.
- At regne med, at vigtig enhed betyder færre krav · kravene er de samme.
- At gætte på grænserne i henstillingen · de er ikke en del af dansk ret.
Det skal auditten kunne vise
- ☐ Virksomhedens status efter gældende ret med en dateret størrelsesberegning.
- ☐ At auditten måler mod NIS 2-loven og ikke mod forslaget.
- ☐ Hvem der følger forslaget, og hvornår status tjekkes igen.
Kilder
- Europa-Kommissionen, COM(2026) 13 final, betragtning 2 og artikel 1, nr. 2, http://publications.europa.eu/resource/cellar/9b9c0d74-f6e3-11f0-b9bc-01aa75ed71a1.0001.03/DOC_1, læst 12. november 2026.
- Europa-Parlamentet, Legislative Observatory, procedure 2026/0012(COD), https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0012(COD), læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4, 6, 7, 21 og 24, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger pkt. 3.4.3, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Lige under NIS2-grænsen · Størrelsesberegningen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
