NIS2-guide
Hvem er omfattet af NIS 2-loven?
NIS 2-loven gælder for offentlige og private enheder i de sektorer, der står i lovens bilag 1 og 2. Om din virksomhed er omfattet, afhænger af to ting: hvad I laver, og hvor store I er. Her gennemgår vi reglerne trin for trin.
Opdateret: oktober 2026 · Retsgrundlag: NIS 2-loven (lov nr. 434 af 6. maj 2025)
Loven kort fortalt
Danmark har gennemført NIS 2-direktivet med lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, i daglig tale NIS 2-loven. Loven trådte i kraft den 1. juli 2025 (§ 33, stk. 1) og erstattede de tidligere sektorlove fra 2018 om bl.a. sundhed, transport og digitale tjenester. Den fulde lovtekst finder du på retsinformation.dk.
Efter § 1, stk. 1, gælder loven for offentlige og private enheder, der er omfattet af bilag 1 og 2. En enhed er en fysisk eller juridisk person, der kan have rettigheder og forpligtelser i eget navn (§ 3, nr. 9). Det betyder i praksis, at hvert selskab i en koncern vurderes for sig. Afgørende er den aktivitet, selskabet faktisk udøver, ikke hvad der står i formålsparagraffen.
Sektorerne i bilag 1 og 2
Loven skelner mellem sektorer af særlig kritisk betydning (bilag 1) og andre kritiske sektorer (bilag 2). Listen svarer til bilag I og II i direktivet.
| Bilag | Sektorer |
|---|---|
| Bilag 1 | Energi (elektricitet, fjernvarme og fjernkøling, olie, gas, brint), transport (luft, jernbane, vand, vej), bankvirksomhed, finansiel markedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af ikt-tjenester (business-to-business), offentlig forvaltning og rummet |
| Bilag 2 | Post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer (engrosdistribution og industriel produktion), fremstilling (medicinsk udstyr, computere og elektronik, elektrisk udstyr, maskiner, motorkøretøjer, andre transportmidler), digitale udbydere og forskning |
Fremstillingssektoren i bilag 2 er knyttet til hovedgrupperne 26 til 30 i NACE Rev. 2. En maskinfabrik, en producent af elektriske tavler eller en underleverandør til bilindustrien kan altså være omfattet, selv om virksomheden aldrig har tænkt på sig selv som kritisk infrastruktur. Inden for digital infrastruktur og ikt-tjenester tæller bl.a. cloud, datacentre og udbydere af administrerede tjenester og sikkerhedstjenester. Mange it-driftsvirksomheder hører derfor med.
Størrelsesgrænserne
Ud over sektoren afgør størrelsen, om og hvordan en virksomhed er omfattet. Loven bruger to trin:
- Væsentlig enhed (§ 4, stk. 1): en enhed af en type i bilag 1, der beskæftiger 250 personer eller derover, eller som har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro.
- Vigtig enhed (§ 5, stk. 1): en enhed af en type i bilag 1 eller 2, der ikke er væsentlig, og som beskæftiger 50 personer eller derover, eller som har en årlig omsætning og en årlig samlet balance på over 10 mio. euro hver.
Små virksomheder under 50 ansatte og med omsætning eller balance på højst 10 mio. euro er som udgangspunkt ikke omfattet. Bemærk ordet »og« ved de økonomiske tærskler: Begge beløb skal være overskredet. En handelsvirksomhed med 40 ansatte, 12 mio. euro i omsætning og 6 mio. euro i balance ligger altså under grænsen.
Lovforslaget henviser ved beregningen af størrelsen til Kommissionens henstilling om mikrovirksomheder og små og mellemstore virksomheder. Hører I til en koncern, bør I derfor afklare, om tal fra partner- eller tilknyttede virksomheder skal tælles med. Det er ofte her, at vurderingen bliver vanskelig.
Omfattet uanset størrelse
Nogle enheder er væsentlige, uanset hvor store de er (§ 4, stk. 3):
- kvalificerede tillidstjenesteudbydere, topdomænenavneadministratorer og DNS-tjenesteudbydere,
- offentlige forvaltningsenheder under den centrale forvaltning,
- enheder, der er identificeret som kritiske enheder efter CER-loven,
- enheder, der var udpeget som operatører af væsentlige tjenester efter NIS 1-direktivet,
- andre enheder i bilag 1 eller 2, hvis de fx er eneste udbyder i Danmark af en samfundskritisk tjeneste, eller hvis en forstyrrelse kan få væsentlig indvirkning på den offentlige sikkerhed eller folkesundheden.
Ikkekvalificerede tillidstjenesteudbydere er altid mindst vigtige enheder (§ 5, stk. 3). Myndigheden kan desuden træffe afgørelse om, at visse enheder efter § 4, stk. 3, nr. 4 eller 5, skal anses som vigtige i stedet for væsentlige (§ 5, stk. 2).
Undtagelser for energi, tele og finans
Tre områder er reguleret i særlove. Efter § 1, stk. 2, gælder NIS 2-loven ikke for enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren, eller af lov om sikkerhed og beredskab i telesektoren. Loven gælder heller ikke for enheder, der er udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. Finansielle virksomheder er desuden typisk omfattet af DORA-forordningen.
For en elhandler, et fjernvarmeværk eller en teleudbyder betyder det: Kravene kommer fra særloven, og tilsynet ligger hos den myndighed, der fører tilsyn efter den. Energistyrelsen er fx myndighed på energiområdet. Lovens § 1, stk. 3, undtager desuden enheder, hvor sektorspecifikke EU-regler har mindst samme virkning som lovens krav til foranstaltninger og underretning.
Sådan afklarer du det i praksis
Find jeres aktiviteter
List alle aktiviteter, som selskabet udøver, med NACE-kode, og sammenhold dem med bilag 1 og 2. En mindre aktivitet kan godt være den, der gør jer omfattet.
Beregn størrelsen
Brug ansatte, omsætning og balance for det seneste regnskabsår, og afklar, om tal fra koncernen skal med.
Tjek særregler
Er I udpeget som kritisk enhed, tidligere NIS 1-operatør eller omfattet af en særlov for energi, tele eller finans?
Dokumentér resultatet
Skriv ned, hvordan I er kommet frem til resultatet. Myndigheden kan bede om oplysninger for at afgøre, om et forhold er omfattet af loven (§ 21, stk. 1, nr. 6).
Myndighederne peger på værktøjet NIS2-tjek som hjælp til den første vurdering. Er I omfattet, er næste skridt registreringen på Virk.dk. Hvor langt I er med kravene, viser NIS2-Scoring på få minutter.
Ofte stillede spørgsmål
Gælder NIS 2-loven for små virksomheder?
Som udgangspunkt nej. Under 50 ansatte og med omsætning eller balance på højst 10 mio. euro er en virksomhed ikke omfattet, medmindre den falder ind under § 4, stk. 3, fx som DNS-tjenesteudbyder eller kritisk enhed.
Hvad er forskellen på en væsentlig og en vigtig enhed?
Kravene til foranstaltninger og underretning er de samme. Forskellen ligger i tilsynet: Væsentlige enheder er under proaktivt tilsyn (§ 21), vigtige under reaktivt tilsyn (§ 24). Desuden er bødeniveauet højere for væsentlige enheder.
Vi er en energivirksomhed. Gælder NIS 2-loven for os?
Kun i det omfang I ikke er omfattet af lov om styrket beredskab i energisektoren (§ 1, stk. 2). Særloven og tilsynet hos Energistyrelsen går forud.
Tæller hele koncernen med?
Hver juridisk person vurderes for sig, men ved beregningen af størrelsen kan tal fra partner- eller tilknyttede virksomheder skulle med efter Kommissionens SMV-henstilling. Afklar det konkret.