En virksomhed i en af NIS 2-lovens sektorer, der ligger lige under lovens størrelsesgrænser, er ikke omfattet og har ingen pligt efter loven. Den kan alligevel vælge at lade en audit måle sig mod lovens ti foranstaltninger som frivillig målestok, så den ved, hvor den står, den dag den vokser over grænsen.
Valget er virksomhedens eget. Det er ingen fejl at vente, og der er virksomheder, for hvem en frivillig NIS 2-målestok er for meget. Artiklen beskriver, hvad der taler for at gøre det tidligt, og hvad der kan genbruges.
Hvornår er man omfattet
Kort og forenklet afhænger det af to ting. Virksomheden skal være af en type, der står i lovens bilag 1 eller 2 (§ 1), og den skal have en vis størrelse. En virksomhed af en bilag 1-type regnes som væsentlig fra 250 beskæftigede, eller hvis den opfylder lovens økonomiske tærskler (§ 4). En enhed i bilag 1 eller 2, der ikke er væsentlig, er vigtig med 50 beskæftigede eller derover, eller hvis den opfylder tærsklerne (§ 5). Nogle enheder er omfattet uanset størrelse.
Ifølge Styrelsen for Samfundssikkerhed (vejledning om anvendelsesområdet, maj 2025) hviler størrelseskriterierne på Kommissionens henstilling 2003/361/EF, og tal fra partnere og tilknyttede selskaber kan indgå i opgørelsen. En virksomhed, der selv tror, den ligger under grænsen, kan altså ende over den, når koncernforbindelser regnes med. Selve beregningen er gennemgået i størrelsesberegningen efterprøvet. Spørgsmålet “nis2 omfattet eller ej?” bør afklares der, før resten bruges.
De ti foranstaltninger som frivillig målestok
Lovens § 6, stk. 1 opregner mindst ti områder, en omfattet enhed skal have foranstaltninger for. Blandt dem er politikker for risikoanalyse og informationssystemsikkerhed, forsyningskædesikkerhed og politikker og procedurer for at vurdere, om foranstaltningerne virker. For en virksomhed under grænsen er de ti områder et færdigt sæt af kriterier, som en audit kan måle imod.
At bruge dem frivilligt er praksis. Loven gælder ikke for den, der ikke er omfattet, og myndighederne fører ikke tilsyn med den. Auditten bliver derfor en intern målestok uden myndighedens blåstempel.
Hvad der kan genbruges, hvis I vokser over
Hvis virksomheden senere bliver omfattet, er der dele af en tidlig audit, som kan bruges igen:
- Risikovurderingen. Lovens krav er risikobaserede, og en risikovurdering, der allerede er lavet og brugt, er et forspring.
- Politikkerne. Er de skrevet, godkendt og kendt, er der mindre at begynde forfra på.
- Oversigten over leverandører. Forsyningskæden er et af de ti områder, og et samlet overblik tager tid at lave første gang.
- Ledelsens rolle. Under loven er det ledelsesorganet, der efter § 7 godkender og følger foranstaltningerne. Har ledelsen allerede vænnet sig til at få status og tage stilling, er overgangen mindre.
- Bevisvanen. At gemme referater, beslutninger og udtræk, så de kan vises, er en vane, der er svær at indføre på kort tid.
Det, der typisk ikke kan genbruges, er selve vurderingen af efterlevelse. Den gælder for et tidspunkt, og den skal laves igen, når loven faktisk gælder.
Tænkt eksempel: En producent i en af lovens sektorer ligger lige under grænsen for antal beskæftigede og planlægger at åbne en ny produktionslinje. Ledelsen beder om en audit efter de ti områder. Den viser, at risikovurderingen og leverandøroversigten er i orden, mens ingen har ansvaret for at håndtere hændelser. Da virksomheden et år senere passerer grænsen, er det kun dét område, der skal bygges op fra bunden.
Når en NIS 2-målestok er for meget
For en virksomhed, der ligger langt under grænsen og ikke venter at vokse, kan de ti områder være en tungere målestok, end risikoen berettiger. Her kan et IT-sikkerhedstjek eller en audit mod virksomhedens egne kriterier være mere passende. De ti områder kan stadig bruges som tjekliste for, at intet vigtigt er glemt.
Skal udviklingen følges over flere år, frem mod den dag virksomheden bliver omfattet, er det et spørgsmål om modenhed. Det er emnet for modenhedsmåling over flere år.
Hvad det kræver, og hvad det koster at lade være
En frivillig audit efter lovens områder kræver, at ledelsen beslutter at bruge dem som målestok og accepterer, at der vil komme fund på områder, loven endnu ikke stiller krav til. Det kræver også en aftale om, hvilke områder der skal med nu, og hvilke der kan vente.
Venter virksomheden, til den er omfattet, skal alt bygges på én gang og under tidspres. Risikovurdering, politikker, leverandøroversigt og ledelsens rolle skal så på plads samtidig, og den første audit bliver en opgørelse over alt det, der mangler.
Det skal I lade være med
- At antage, at I ligger under grænsen uden at regne koncernen med · partner- og tilknyttede virksomheder kan tælle.
- At præsentere en frivillig audit som NIS 2-godkendelse · loven gælder ikke, og ingen myndighed har set på den.
- At bruge alle ti områder i fuld dybde, hvis risikoen er lav · målestokken bør passe til virksomheden.
Det skal auditten kunne vise
- ☐ Hvorfor virksomheden vurderes at ligge under grænsen, og hvem der har vurderet det.
- ☐ Hvilke af de ti områder der er brugt som kriterier, og i hvilken dybde.
- ☐ Status pr. område og de dele, der kan genbruges ved en senere omfattelse.
- ☐ Ledelsens beslutning om at bruge loven som frivillig målestok.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 1, 4, 5, 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, vejledning om anvendelsesområdet, 1. udgave maj 2025, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-anvendelsesomradet-2025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Jeres kunde er omfattet af NIS 2 · Virksomheden er vokset fra sin IT
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
