En væsentlig enhed og en vigtig enhed skal leve op til præcis de samme krav i NIS 2-loven. Forskellen ligger i, hvordan myndigheden fører tilsyn, og hvilke sanktioner den kan bruge, og derfor er inddelingen et dårligt argument for at springe auditten over.
Det er fristende at læse kategorien vigtig som en lettere udgave af loven. Lovteksten giver ikke grundlag for den læsning.
Kravene er ens
§ 6 om foranstaltninger og § 7 om ledelsesorganets godkendelse, tilsyn og kurser gælder for “væsentlige og vigtige enheder” i samme ordlyd. Det samme gør underretningspligterne i §§ 12 og 13 og pligten til at underrette modtagerne af tjenesterne i § 15. Registreringen efter § 10 gælder også begge, og den kan efterprøves på samme måde.
En vigtig enhed har altså ti foranstaltninger, en ledelse med ansvar og frister på 24 og 72 timer, akkurat som en væsentlig enhed. Det er på det grundlag, en NIS2-audit måler, og det ændrer sig ikke med kategorien.
Tilsynet er forskelligt
Over for væsentlige enheder fører den kompetente myndighed tilsyn efter § 21. Det kan omfatte kontrol på stedet og “regelmæssige og målrettede sikkerhedsaudits”. Myndigheden kan altså komme, uden at der først er sket noget.
Over for vigtige enheder er tilsynet reaktivt efter § 24. Myndigheden griber ind efter indikationer på, at enheden ikke overholder loven, og den kan pålægge målrettede sikkerhedsaudits. Loven siger ikke, hvor indikationen skal komme fra. En hændelse eller en underretning er nærliggende eksempler, men det er en tolkning.
De skrappeste værktøjer i § 23, midlertidig suspension og midlertidigt forbud mod at udøve ledelsesfunktioner, kan kun bruges over for væsentlige enheder. Styrelsens vejledning om anvendelsesområdet bekræfter, at det netop er tilsynet, håndhævelsen og sanktionerne, inddelingen styrer. Mere om tilsynets former står i audit og tilsyn.
Sådan bestemmes kategorien
En enhed er væsentlig, hvis den er af en type i lovens bilag 1 og har 250 personer eller derover ansat eller en omsætning og balance over tærsklerne i § 4, stk. 1, nr. 2. Nogle enheder er væsentlige uanset størrelse efter § 4, stk. 3. Det gælder fx kvalificerede tillidstjenesteudbydere, topdomænenavneadministratorer, DNS-tjenesteudbydere, enheder identificeret som kritiske efter CER-loven og enheder, der var operatører af væsentlige tjenester efter de tidligere regler.
En enhed er vigtig, hvis den er af en type i bilag 1 eller 2, ikke er væsentlig, og har 50 personer eller derover ansat eller en omsætning og balance over tærsklerne i § 5, stk. 1, nr. 2.
Vejledningen om anvendelsesområdet gengiver grænserne som “mere end 250” og “mere end 50” og regner i årsværk. Lovteksten siger “personer eller derover”. Er I tæt på grænsen, er det lovens ord, der gælder, og beregningen bør kunne efterprøves. Det er gennemgået i størrelsesberegningen efterprøvet.
Har en enhed aktiviteter i flere sektorer, og er den væsentlig i én af dem, betragtes hele enheden som væsentlig. Det skriver styrelsen i samme vejledning.
Derfor auditerer vigtige enheder også
At en vigtig enhed bør auditere, er en vurdering og ikke et lovkrav. Tre forhold taler for det.
Kravene er de samme. En mangel hos en vigtig enhed er lige så meget en overtrædelse som hos en væsentlig, og bødereglen i § 32, stk. 1, nr. 1 omfatter § 6, stk. 1 og 2 for begge kategorier.
Et reaktivt tilsyn kan komme på et dårligt tidspunkt. Er anledningen en hændelse, skal dokumentationen findes frem, mens organisationen er presset af selve hændelsen. En audit i en rolig periode afprøver, om det kan lade sig gøre.
Ledelsesorganets ansvar efter § 7 gælder fuldt ud. Bestyrelse eller direktion skal føre tilsyn med foranstaltningerne, uanset hvor ofte myndigheden kigger.
Forskellen kan til gengæld afspejles i omfanget. En vigtig enhed med et overskueligt IT-miljø kan vælge en smallere audit eller længere mellem gennemgangene. Valget af interval er beskrevet i hyppigheden af NIS2-audits.
Hvad det kræver, og hvad det koster at lade være
At fastslå kategorien kræver, at nogen gennemgår bilag 1 og 2, tæller medarbejdere og ser på regnskabstallene for hele enheden og eventuelle koncernforbindelser. Konklusionen bør skrives ned med beregning, så den kan vises.
En forkert kategori fører til en forkert forventning. Den væsentlige enhed, der tror sig vigtig, er uforberedt på et tilsyn uden anledning. Den vigtige enhed, der læser kategorien som færre krav, opdager forskellen, når myndigheden reagerer på en hændelse og beder om dokumentation for alle ti foranstaltninger.
Det skal I lade være med
- At læse “vigtig” som færre krav · § 6 og § 7 gælder begge kategorier ens.
- At bruge vejledningens “mere end” om grænsen · lovens ordlyd er “eller derover”.
- At vurdere kategorien for én aktivitet · hele enheden og alle sektorer tæller.
Det skal auditten kunne vise
- ☐ Enhedens kategori med henvisning til bilag og paragraf.
- ☐ Beregningen af størrelsen med dato og datagrundlag.
- ☐ Om enheden er væsentlig uanset størrelse efter § 4, stk. 3.
- ☐ At alle ti foranstaltninger er vurderet, uanset kategori.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres kategori ned med paragraf og beregning, og læg den forrest i bevismappen.
Læs også: Kræver NIS 2-loven en audit? · Registreringen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
