Som udgangspunkt er jeres virksomhed omfattet af NIS2, hvis den hører til en af de sektorer, loven udpeger i sine bilag, og samtidig opfylder et størrelseskriterium — og nogle virksomheder er omfattet uanset størrelse. Er I omfattet, skal ledelsen sikre, at virksomheden registrerer sig, implementerer passende sikkerhedsforanstaltninger og kan rapportere hændelser til myndighederne. Guiden bygger på Styrelsen for Samfundssikkerhed og Digitaliseringsstyrelsen, læst 24. september 2026; den er ikke juridisk rådgivning.
Hvem er omfattet af NIS2?
Ifølge Styrelsen for Samfundssikkerhed afgør tre kriterier, om en virksomhed er omfattet: at den hører til en af de omfattede sektorer og har en vis størrelse, eller at den er omfattet uanset størrelse eller er særlig vigtig fra et samfundsperspektiv. Sektorerne står i lovens bilag 1 (sektorer af særlig kritisk betydning) og bilag 2 (andre kritiske sektorer). De omfattede virksomheder deles i væsentlige og vigtige enheder.
En enhed er som udgangspunkt omfattet, hvis den lever op til blot et af størrelseskriterierne:
- Vigtige enheder har mellem 50 og 249 ansatte eller en årlig omsætning på mere end 10 mio. euro og en årlig balance på mere end 10 mio. euro.
- Væsentlige enheder har 250 ansatte eller derover eller en årlig omsætning på mere end 50 mio. euro og en årlig balance på mere end 43 mio. euro.
Det er altså nok at opfylde ét af kriterierne. Digitaliseringsstyrelsen gør også opmærksom på, at partnervirksomheder og tilknyttede virksomheder — fx et moder- eller datterselskab — kan have betydning for, hvad der regnes med i virksomhedens størrelse. Og nogle enheder i den digitale sektor, fx kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere, er væsentlige enheder uanset størrelse.
Et eksempel fra den digitale sektor er udbydere af administrerede tjenester. En udbyder af administrerede tjenester leverer installation, administration, drift eller vedligeholdelse af IKT-produkter til virksomheder eller organisationer; udføres der udelukkende konsulentydelser, er man ikke omfattet.
Hvornår trådte loven i kraft, og hvad er fristerne?
NIS2-loven trådte i kraft den 1. juli 2025. Omfattede enheder skulle registrere sig på virk.dk senest 1. oktober 2025. Er jeres virksomhed omfattet, og har I endnu ikke registreret jer, bør I gøre det hurtigst muligt. Styrelsen har udgivet vejledninger om bl.a. anvendelsesområdet, ledelsens rolle og opgaver og foranstaltningerne, og værktøjet nis2tjek.dk kan hjælpe med at vurdere, om I er omfattet.
Hvad kræver loven af ledelsen?
Omfattede enheder skal leve op til en række cybersikkerhedskrav, herunder:
- Registrering hos de relevante myndigheder
- Ledelsens ansvar for cybersikkerhed
- Rapportering af sikkerhedshændelser
- Implementering af tilstrækkelige sikkerhedsforanstaltninger
Hvad ledelsens ansvar konkret indebærer, beskriver Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle og opgaver. Læs den, før I fordeler opgaverne, og få en rådgiver til at vurdere jeres situation.
Eksempel: Vurdering af en mellemstor IT-servicevirksomhed
Eksemplet er sitets eget, og tallene er fiktive.
En IT-servicevirksomhed har 75 ansatte og en årlig omsætning på 8 mio. euro. Virksomheden drifter servere og netværk for en række kunder og opdaterer løbende deres systemer.
Ledelsen vurderer først, om virksomheden falder inden for en af de omfattede sektorer. Fordi virksomheden leverer installation, drift og vedligeholdelse af IKT-produkter til andre organisationer, kan den være omfattet som udbyder af administrerede tjenester.
Dernæst tjekker ledelsen størrelseskriterierne. Med 75 ansatte opfylder virksomheden kriteriet for vigtige enheder (mellem 50 og 249 ansatte), selv om omsætningen er under 10 mio. euro.
Ledelsen konkluderer, at virksomheden sandsynligvis er omfattet som vigtig enhed, og bekræfter vurderingen med Digitaliseringsstyrelsens vejledning. De lægger en plan for registrering, gennemgang af sikkerhedsforanstaltninger og etablering af en proces for hændelsesrapportering.
Hvad med leverandører til omfattede virksomheder?
Selv om jeres virksomhed ikke selv er omfattet af NIS2, kan I forvente krav fra kunder, der er det. Mange vil stille sikkerhedskrav til deres leverandører.
Det kan betyde, at I skal dokumentere jeres sikkerhedsniveau, svare på spørgeskemaer om jeres IT-sikkerhed eller acceptere kontraktvilkår om hændelseshåndtering og opdateringer. Er I softwareleverandør, kan guiden om sikker softwareudvikling hjælpe jer med at forstå, hvilke krav ledelsen bør stille.
Hændelsesrapportering under NIS2
Rapportering af sikkerhedshændelser er et af kravene til omfattede virksomheder. Hvordan og hvornår der skal underrettes, står i myndighedernes vejledninger; læs dem, før en hændelse opstår.
Et brud på persondatasikkerheden skal desuden anmeldes til Datatilsynet efter databeskyttelsesreglerne. Er I omfattet af begge regelsæt, skal I have procedurer for begge dele. Guiden om brud på persondatasikkerheden beskriver de første timer og døgn ved et databrud.
Sådan kommer I i gang
- Afklar om I er omfattet: Gennemgå sektorerne og størrelseskriterierne. Er I i tvivl, så brug nis2tjek.dk, læs vejledningen om anvendelsesområdet, eller kontakt den sektoransvarlige myndighed.
- Registrer jer: Hvis I er omfattet, skal I registrere jer via virk.dk.
- Kortlæg jeres nuværende sikkerhedsniveau: Brug sikkerheds- og compliancetjekket til at få overblik over, hvad I allerede har styr på, og hvor der er huller.
- Forankr ansvaret i ledelsen: Læs vejledningen om ledelsens rolle og opgaver, og sæt cybersikkerhed på dagsordenen i ledelsen.
- Etabler en proces for hændelsesrapportering: I skal kunne identificere, vurdere og rapportere væsentlige hændelser.
Hvad guiden ikke dækker
Guiden giver et overblik over, hvem der er omfattet af NIS2, og hvad loven kræver overordnet. Den dækker ikke:
- Teknisk opsætning af sikkerhedsløsninger eller netværkskonfiguration
- De præcise krav til hver enkelt sektor — de varierer og administreres af forskellige myndigheder
- Juridisk rådgivning om, hvorvidt jeres specifikke aktiviteter er omfattet
Er I i tvivl om, hvorvidt I er omfattet, bør I kontakte den tilsynsmyndighed, der dækker jeres sektor, eller søge rådgivning hos en specialist i cybersikkerhed og compliance. Overvejer I at etablere et mere systematisk sikkerhedsarbejde, beskriver guiden om ISO 27001-certificering vejen til et ledelsessystem for informationssikkerhed.
