Kort fortalt
Loven gælder for offentlige og private enheder, der hører under de sektorer og enhedstyper, som bilag 1 og 2 opregner. Flere grupper er undtaget: enheder i det omfang, de er dækket af energi- eller teleloven eller er udpeget efter § 333, stk. 1, i lov om finansiel virksomhed, enheder med sektorregler fra EU af mindst samme virkning på de centrale krav og myndigheder inden for blandt andet forsvar og retshåndhævelse. En minister kan desuden fritage enkelte enheder i sikkerhedsfølsomme aktiviteter fra bestemte pligter og kan udvide loven til kommuner og uddannelsesinstitutioner.
Det betyder i praksis
Tjek først, om jeres enhedstype står i bilag 1 eller 2, og dernæst om en af undtagelserne rammer jer. Er I allerede dækket af energi- eller teleloven eller af sektorregler med mindst samme virkning, skal I ikke leve op til de samme krav to gange.
Eksempel
En virksomhed, der fremstiller industrimaskiner, står under fremstilling i bilag 2 og kan derfor være omfattet. Et teleselskab skal derimod først se på telesektorens egen lov, for NIS 2-loven gælder kun i det omfang, selskabet ikke er dækket dér.
Ofte stillede spørgsmål
Gælder NIS 2-loven for banker?
Kreditinstitutter står i bilag 1, så en bank er ikke undtaget bare fordi den er en bank. En undtagelse kan komme efter stk. 2 (enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed) eller efter stk. 3, hvis sektorreglerne fra EU har mindst samme virkning som lovens centrale krav. Loven nævner ikke DORA ved navn, men DORA fastslår selv i artikel 1, stk. 2, at forordningen er en sektorspecifik EU-retsakt i NIS2-direktivets forstand for finansielle enheder, der er væsentlige eller vigtige. Efter stk. 3 afgøres undtagelsen af, om reglerne har mindst samme virkning som lovens krav.
Kan en kommune blive omfattet af NIS 2-loven?
Bilagene nævner kun offentlige forvaltningsenheder under den centrale forvaltning og på regionalt plan. Efter stk. 7 kan en minister dog fastsætte regler om, at loven helt eller delvist også gælder for lokale offentlige forvaltningsenheder, fx kommuner, og for uddannelsesinstitutioner. Kommuner og regioner kan desuden blive væsentlige enheder, hvis de kommercielt leverer elektronisk kommunikation, jf. § 4, stk. 2.
Kan en virksomhed, der arbejder for forsvaret, blive fritaget?
Ja, men ikke automatisk. Efter stk. 5 kan en minister beslutte at fritage bestemte enheder fra nogle af lovens pligter. Det gælder enheder, der selv udfører aktiviteter inden for blandt andet national sikkerhed, forsvar og retshåndhævelse, eller som udelukkende leverer tjenester til offentlige myndigheder med de opgaver, og kun for de aktiviteter eller tjenester. Det kræver en konkret afgørelse. Tillidstjenesteudbydere kan ikke fritages på den måde (stk. 6).
Relaterede bestemmelser
- § 4 – Væsentlige enheder
- NIS2-direktivet: Artikel 2 – Anvendelsesområde
- NIS2-direktivet: Artikel 4 – Sektorspecifikke EU-retsakter
Samme emne i andre regler
Hvem er omfattet, og hvilke regler går forud?
- NIS2-direktivet artikel 2 – Anvendelsesområde – Fastlægger, hvilke offentlige og private enheder NIS2-direktivet gælder for, ud fra sektor og størrelse.
- NIS2-direktivet artikel 3 – Væsentlige og vigtige enheder – Skelner mellem væsentlige og vigtige enheder, som mødes med forskellige tilsynsniveauer.
- NIS2-direktivet artikel 4 – Sektorspecifikke EU-retsakter – Når en sektorspecifik EU-regel stiller mindst tilsvarende krav, gælder den i stedet for NIS2 på det område. DORA er et eksempel.
- NIS 2-loven § 4 – Væsentlige enheder – Afgør, hvornår en enhed er væsentlig, ud fra antal ansatte, omsætning og balance; visse enheder er væsentlige uanset størrelse.
- Lov om styrket beredskab i energisektoren § 2 – Hvilke virksomheder loven gælder for – Opregner de typer af energivirksomheder, som energisektorens egen lov omfatter.
- Lov om sikkerhed og beredskab i telesektoren § 1 – Hvem loven gælder for – Afgrænser telesektorens egen lov til udbydere af offentlige elektroniske kommunikationsnet og -tjenester.
- DORA artikel 1 – Genstand – Bestemmer, at DORA for finansielle enheder er den sektorspecifikke regel, som går forud for NIS2.
- DORA artikel 2 – Anvendelsesområde – Opregner de finansielle enheder og IKT-tredjepartsudbydere, som DORA gælder for.
- CER artikel 1 – Genstand og anvendelsesområde – CER gælder som udgangspunkt ikke for de spørgsmål, NIS2 dækker, og de to direktiver skal gennemføres koordineret.
Den officielle ordlyd
§ 1. Loven finder anvendelse på offentlige og private enheder, der er omfattet af lovens bilag 1 og 2, jf. dog stk. 2-5 og 7.
Stk. 2. Loven finder ikke anvendelse på enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren. Loven finder ikke anvendelse på enheder, i det omfang de er omfattet af lov om sikkerhed og beredskab i telesektoren, jf. dog § 1, stk. 2, i denne lov. Loven finder endvidere ikke anvendelse på enheder, der er udpeget i medfør af § 333, stk. 1, i lov om finansiel virksomhed.
Stk. 3. Loven finder ikke anvendelse på enheder, hvor sektorspecifikke EU-retsakter og eventuel national gennemførelse heraf har mindst samme virkning som bestemmelserne i §§ 6, 12, 13 og 15.
Stk. 4. Loven finder ikke anvendelse på offentlige forvaltningsenheder, som udfører deres aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger.
Stk. 5. Vedkommende minister kan inden for sit område træffe afgørelse om at undtage specifikke enheder, såfremt enhederne udfører aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller udelukkende leverer tjenester til offentlige forvaltningsenheder, der udfører disse aktiviteter, fra forpligtelserne i §§ 6, 8, 12, 13, 15 og 16, for så vidt angår disse aktiviteter eller tjenester. Udfører enheder udelukkende aktiviteter eller leverer udelukkende tjenester af den type som omhandlet i 1. pkt., kan vedkommende minister endvidere træffe afgørelse om at fritage disse enheder for forpligtelserne i medfør af §§ 9 og 10, jf. dog stk. 6.
Stk. 6. Der kan ikke fastsættes regler efter stk. 5, hvor en enhed fungerer som tillidstjenesteudbyder.
Stk. 7. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte regler om, at loven helt eller delvis også finder anvendelse på henholdsvis offentlige forvaltningsenheder på lokalt plan og uddannelsesinstitutioner.
Den officielle tekst følger LOV nr. 434 af 6. maj 2025.
→ Fuld officiel tekst på Retsinformation
Se kapitlet 1 – Anvendelsesområde, jurisdiktion, definitioner m.v.