Kort fortalt
En enhed hører under dansk jurisdiktion, når den er etableret i Danmark. For en række digitale udbydere, fx cloud, datacentre, DNS, onlinemarkedspladser og sociale platforme, afgør i stedet hovedforretningsstedet, altså det sted i EU, hvor beslutningerne om cybersikkerhed overvejende træffes. Kan det ikke fastslås, tæller stedet, hvor cybersikkerhedsarbejdet udføres, og dernæst forretningsstedet med flest ansatte. Er udbyderen ikke etableret i EU, men leverer tjenester her, skal den udpege en repræsentant i en af de medlemsstater, hvor tjenesterne udbydes.
Det betyder i praksis
Er I en digital udbyder, der arbejder i flere EU-lande, skal I kunne vise, hvor jeres cybersikkerhedsbeslutninger reelt bliver truffet. Er I etableret uden for EU, skal I udpege en repræsentant, ellers kan I blive anset for at høre under flere landes jurisdiktion.
Eksempel
Et cloudselskab med hovedkontor uden for EU leverer til kunder i Danmark og Sverige. Udpeger selskabet en repræsentant i København, hører det under dansk jurisdiktion. Udpeger det ingen, kan begge lande gøre krav gældende.
Ofte stillede spørgsmål
Hvad er en repræsentant efter NIS 2-loven?
Det er en person eller virksomhed etableret i EU, som udtrykkeligt er udpeget til at handle på en udenlandsk udbyders vegne, og som en kompetent myndighed eller CSIRT kan kontakte. Repræsentanten er myndighedernes kontaktled til en udbyder, som selv ikke har et sted i EU (§ 3, nr. 26).
Hvad gør vi, hvis cybersikkerhedsbeslutningerne træffes i flere lande?
Loven bruger tre led i rækkefølge. Først det land, hvor beslutningerne overvejende træffes. Kan det ikke fastslås, det land hvor cybersikkerhedsarbejdet udføres. Kan heller ikke det fastslås, det land hvor enhedens forretningssted med flest ansatte i EU ligger.
Betyder det noget, hvor vores servere står?
Jurisdiktionen følger etableringen eller hovedforretningsstedet, ikke serverplaceringen. Serverplaceringen kan dog få betydning for myndighedssamarbejdet: efter § 27, stk. 3, kan der, når et andet EU-land anmoder om gensidig bistand, træffes foranstaltninger over for visse digitale udbydere, hvis de leverer tjenester eller har et net- og informationssystem i Danmark.
Relaterede bestemmelser
- § 1 – Anvendelsesområde og undtagelser
- § 9 – Registrering for digitale udbydere
- NIS2-direktivet: Artikel 26 – Jurisdiktion og territorialitet
Den officielle ordlyd
§ 2. Under dansk jurisdiktion hører enheder, der er omfattet af lovens anvendelsesområde, og som er etableret i Danmark, jf. dog stk. 2.
Stk. 2. DNS-tjenesteudbydere, topdomænenavneadministratorer, enheder, der leverer domænenavnsregistreringstjenester, og udbydere af henholdsvis cloudcomputingtjenester, datacentertjenester, indholdsleveringsnetværk, administrerede tjenester, administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester, der har deres hovedforretningssted i Danmark, jf. stk. 3, hører under dansk jurisdiktion.
Stk. 3. En enhed som nævnt i stk. 2 anses for at have sit hovedforretningssted i Den Europæiske Union i den medlemsstat, hvor beslutningerne vedrørende foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes. Kan en sådan medlemsstat ikke fastslås, eller hvis sådanne beslutninger ikke træffes i Den Europæiske Union, anses hovedforretningsstedet for at være i den medlemsstat, hvor der udføres cybersikkerhedsoperationer. Kan en sådan medlemsstat ikke fastslås, anses hovedforretningsstedet for at være i den medlemsstat, hvor den pågældende enheds forretningssted med det største antal ansatte i Den Europæiske Union er beliggende.
Stk. 4. Er en enhed som nævnt i stk. 2 ikke etableret i Den Europæiske Union, men udbyder tjenester inden for Unionen, herunder i Danmark, skal enheden udpege en repræsentant, der er etableret i en af de medlemsstater i Unionen, hvor enhedens tjenester udbydes. Er repræsentanten etableret i Danmark, hører enheden under dansk jurisdiktion. Er der ikke udpeget en repræsentant efter 1. pkt., anses enheden for at høre under jurisdiktionen i de medlemsstater, hvor tjenesterne udbydes.
Den officielle tekst følger LOV nr. 434 af 6. maj 2025.
→ Fuld officiel tekst på Retsinformation
Se kapitlet 1 – Anvendelsesområde, jurisdiktion, definitioner m.v.