Til ejere og IT-ansvarlige i danske virksomheder, der skal afklare mulig direkte omfattelse eller sikkerhedskrav fra kunder. Guiden er en indledende orientering. Den afgør ikke en konkret virksomheds juridiske status og behandler ikke alle sektorregler eller undtagelser.
Gælder NIS2 for alle virksomheder?
Nej. Den danske NIS 2-lov gælder bestemte typer enheder i de oplistede sektorer. Størrelse og særlige undtagelser indgår også. Loven trådte i kraft 1. juli 2025; den er ikke blot et kommende krav. Nogle områder reguleres gennem særskilt lovgivning. NIS 2-loven, navnlig §§ 1, 4, 5 og 33.
“Vi bruger Microsoft 365” eller “vi er en produktionsvirksomhed” er derfor ikke tilstrækkeligt til at afgøre, om I er omfattet. Begynd med virksomhedens faktiske tjenester og aktiviteter.
Kan vi nøjes med at tælle medarbejdere?
Nej. En tommelfingerregel om 50 ansatte kan ikke stå alene. Sektortype, økonomiske størrelser og eventuelle partner- eller koncernforhold skal indgå i vurderingen. Visse enhedstyper kan være omfattet uanset størrelse. Digitaliseringsstyrelsens gennemgang viser disse forhold for den digitale sektor og understreger undtagelserne. Den må ikke ukritisk bruges som sektorvejledning for enhver virksomhed. Digitaliseringsstyrelsens afgrænsning for den digitale sektor.
Brug SAMSIKs samlede NIS2-indgang til at finde vejledning og relevant myndighed. Her henviser styrelsen også til NIS2tjek som hjælp til en indledende vurdering. Et værktøj bør ikke stå alene, hvis jeres forhold giver tvivl.
Er vi automatisk omfattet, fordi vores kunde er det?
Nej. En omfattet kunde skal arbejde med sikkerhed i sin forsyningskæde og kan derfor stille krav til leverandører. Det er noget andet end, at leverandøren automatisk bliver direkte omfattet af loven. Trafikstyrelsens officielle FAQ forklarer netop forskellen mellem direkte lovkrav og krav gennem kunderelationen. Spørgsmål om leverandører og forsyningskædesikkerhed.
Bed kunden beskrive, hvad kravet omfatter: den konkrete leverance, nødvendige kontroller og ønsket dokumentation. Et generelt ønske om at være “NIS2-klar” er ikke en præcis opgavebeskrivelse.
Er MFA og backup nok?
Nej. For direkte omfattede enheder rækker lovens krav ud over enkelte produkter. Den omfatter blandt andet risikostyring, hændelseshåndtering, driftskontinuitet, leverandørforhold og ledelsens rolle. En MFA-løsning, backup eller Microsoft 365 Business Premium kan ikke alene dokumentere efterlevelse. NIS 2-lovens §§ 6–7.
Hvad kan vi gøre nu?
- Beskriv jeres tjenester, brancheaktiviteter og selskabsforhold.
- Saml relevante medarbejder- og regnskabsoplysninger til vurderingen.
- Skeln mellem mulig direkte omfattelse og krav fra bestemte kunder.
- Søg vejledning hos den relevante myndighed, hvis afgrænsningen er usikker.
- Udpeg en ansvarlig i ledelsen og beskriv, hvem der leverer teknisk og juridisk bistand.
- Få overblik over systemer, adgange, backup og håndtering af hændelser som grundlag for arbejdet.
Hvad kan Clouded IT hjælpe med?
Clouded IT kan hjælpe med teknisk overblik og aftalte forbedringer i virksomhedens IT. En sådan opgave er ikke i sig selv en juridisk NIS2-vurdering eller en erklæring om fuld efterlevelse.
Se vores hjælp til IT-sikkerhed, eller kontakt os om jeres tekniske behov.