For de fleste virksomheder afgør størrelsen, om de er omfattet af NIS 2-loven, og om de er væsentlige eller vigtige. Beregningen er virksomhedens eget ansvar, og en audit bør efterprøve den, fordi en fejl i den flytter alt andet.
Myndighederne udpeger ikke de omfattede enheder. Vejledningen om anvendelsesområdet lægger vurderingen hos enheden selv. Dermed er der ingen, der retter beregningen, før en myndighed eller en hændelse sætter spørgsmål ved den.
Hvad loven siger
Tærsklerne står i § 4, stk. 1 for væsentlige enheder og § 5, stk. 1 for vigtige enheder. De bygger på antal ansatte og på omsætning og balance. For væsentlige enheder er grænsen 250 personer eller derover. For vigtige enheder er den 50 personer eller derover. Beløbsgrænserne for omsætning og balance står i paragrafferne og gengives ikke her.
Nogle enheder er omfattet uanset størrelse efter § 4, stk. 3. For dem har størrelsesberegningen ingen betydning for, om de er omfattet. Se væsentlig eller vigtig enhed.
Hvordan vejledningen regner
Vejledningen om anvendelsesområdet, 1. udgave maj 2025, forklarer beregningen i kapitel 3. Den bygger på kategorierne i Kommissionens henstilling 2003/361/EF om definitionen af små og mellemstore virksomheder.
Fire regler er vigtige for efterprøvningen.
Hele enheden tæller. Størrelsen beregnes for hele den juridiske enhed og ikke for den aktivitet, der gør den omfattet. Har I en lille afdeling i en omfattet sektor og en stor anden forretning, er det den samlede størrelse, der gælder.
Ansatte regnes i årsværk. Vejledningen bruger årsværk, hvor deltid og sæsonarbejde tæller som brøkdele. Lovteksten siger “personer”. Det er lovens ord, der står i paragraffen, og vejledningen regner i årsværk efter henstillingen. Ligger I tæt på grænsen, bør beregningen vise begge dele.
Koncernforbindelser tæller med. Partnervirksomheder med en ejerandel mellem 25 og 50 procent lægges til med en forholdsmæssig andel. Tilknyttede virksomheder med over 50 procent tæller fuldt med. Vejledningen åbner for en undtagelse, hvis enheden i høj grad fungerer selvstændigt, især hvad angår dens egne systemer. Så kan den regnes som liggende under grænsen.
To år i træk. En enhed skifter først kategori, når over- eller underskridelsen er sket to regnskabsår i træk. Reglen gælder ikke, når størrelsen ændres ved fusion eller opkøb.
Vejledningen henviser til Kommissionens brugervejledning til definitionen og til et onlineværktøj, SME Questionnaire, som hjælp.
Det, auditten efterprøver
At efterregningen hører med i auditten, er praksis. Den kan gennemføres i fem trin.
Grundlaget. Hvilke regnskabsår er brugt, og hvor kommer tallene fra? Auditor sammenholder med årsrapporterne og lønsystemet.
Årsværkene. Er deltid, sæsonarbejde og vikarer behandlet efter vejledningen? Er der lavet en optælling af personer ved siden af, hvis I er tæt på grænsen?
Koncernen. Er alle partner- og tilknyttede virksomheder fundet, og er ejerandelene rigtige? Er der påberåbt uafhængighed, skal begrundelsen kunne vises, især for net- og informationssystemerne. Deler selskaberne IT-drift, er påstanden om uafhængighed svær at bære. Det er en faglig vurdering. Resten af koncernens spørgsmål er samlet i artiklen om koncerner.
Tidsforløbet. Har enheden passeret en grænse, og er reglen om to år brugt rigtigt? Har der været en fusion eller et opkøb, gælder reglen ikke.
Konklusionen. Står vurderingen skriftligt, med dato, og er den godkendt af ledelsen? Den er grundlaget for registreringen, som er beskrevet i registreringen efterprøvet.
Når konklusionen er “ikke omfattet”
Også en virksomhed, der har konkluderet, at den ikke er omfattet, har gavn af at få beregningen efterprøvet. Ligger den tæt på grænsen, eller vokser den, kan den passere tærsklen inden for få år. En virksomhed i den situation kan have glæde af at forberede sig, mens den er under grænsen.
Hvad det kræver, og hvad det koster at lade være
Efterprøvningen kræver regnskaber for de relevante år, lønoplysninger opgjort i årsværk, en ejeroversigt for koncernen og den skriftlige vurdering. Er vurderingen godt dokumenteret, tager kontrollen kort tid. Findes den ikke skriftligt, er den første opgave at lave den.
En forkert beregning kan betyde, at en virksomhed tror sig vigtig, når den er væsentlig, eller tror sig udenfor, når den er omfattet. Pligterne har gjaldt fra lovens ikrafttræden, og både registreringspligten og § 6 er nævnt i bødebestemmelsen i § 32, stk. 1, nr. 1.
Det skal I lade være med
- At regne størrelsen for den omfattede aktivitet alene · hele enheden tæller.
- At glemme partner- og tilknyttede virksomheder · koncernforbindelser lægges til.
- At bruge totårsreglen efter en fusion · den gælder ikke ved fusion og opkøb.
Det skal auditten kunne vise
- ☐ Den skriftlige vurdering med dato, regnskabsår og datagrundlag.
- ☐ Årsværk og personer opgjort efter vejledningen og lovteksten.
- ☐ Koncernforbindelser med ejerandele og eventuel begrundelse for uafhængighed.
- ☐ Anvendelsen af reglen om to regnskabsår i træk.
- ☐ Om enheden er omfattet uanset størrelse efter § 4, stk. 3.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den skriftlige størrelsesvurdering frem, og kontrollér, at koncernforbindelserne er med.
Læs også: Registreringen efterprøvet · Hele CVR-nummeret er med
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
