NIS 2-loven § 4 – Væsentlige enheder

Kort fortalt

En enhed i bilag 1 er væsentlig, hvis den har mindst 250 ansatte, eller hvis både omsætningen overstiger 50 mio. euro og balancen overstiger 43 mio. euro. Nogle enheder er væsentlige uanset størrelse: kvalificerede tillidstjenesteudbydere, topdomæneadministratorer, DNS-udbydere, centrale statslige myndigheder, kritiske enheder efter CER-loven og enheder, der tidligere var udpeget som operatører af væsentlige tjenester. Det samme gælder øvrige enheder i bilag 1 eller 2, hvis en forstyrrelse kunne få alvorlige følger, fx fordi de er eneste danske udbyder af en vigtig tjeneste. Kommuner og regioner kan også være væsentlige, hvis de kommercielt udbyder elektronisk kommunikation og har mindst 50 ansatte eller over 10 mio. euro i både omsætning og balance.

Det betyder i praksis

Er I i bilag 1 og har mindst 250 ansatte, er I væsentlig enhed, medmindre en undtagelse i § 1 rammer jer, og skal regne med et tættere tilsyn end vigtige enheder (§ 21). Nogle virksomheder er væsentlige, selv om de er små, fordi deres rolle i samfundet er afgørende.

Eksempel

Et spildevandsselskab i bilag 1 med 300 ansatte er væsentlig enhed. En DNS-udbyder med fem ansatte er også væsentlig, fordi størrelse ikke tæller for den enhedstype.

Ofte stillede spørgsmål

Kan en lille virksomhed være væsentlig enhed?

Ja. Kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-udbydere er væsentlige uanset størrelse, og det samme gælder enheder, der er identificeret som kritiske efter CER-loven. En lille virksomhed kan også blive væsentlig efter stk. 3, nr. 5, fx hvis den er eneste udbyder i Danmark af en tjeneste, der er afgørende for samfundet.

Hvem afgør, om en enhed er væsentlig efter stk. 3, nr. 5?

Loven siger ikke udtrykkeligt, hvem der vurderer det. Den nævner fire kriterier, fx eneste udbyder eller væsentlig indvirkning på offentlig sikkerhed. En minister kan fastsætte nærmere regler om, hvornår enheder er omfattet af kriterierne (stk. 4). Efter § 5, stk. 2, kan den kompetente myndighed desuden beslutte, at en sådan enhed i stedet skal behandles som vigtig.

Relaterede bestemmelser

Samme emne i andre regler

Hvem er omfattet, og hvilke regler går forud?

NIS2-direktivet artikel 2 – Anvendelsesområde – Fastlægger, hvilke offentlige og private enheder NIS2-direktivet gælder for, ud fra sektor og størrelse.
NIS2-direktivet artikel 3 – Væsentlige og vigtige enheder – Skelner mellem væsentlige og vigtige enheder, som mødes med forskellige tilsynsniveauer.
NIS2-direktivet artikel 4 – Sektorspecifikke EU-retsakter – Når en sektorspecifik EU-regel stiller mindst tilsvarende krav, gælder den i stedet for NIS2 på det område. DORA er et eksempel.
NIS 2-loven § 1 – Anvendelsesområde og undtagelser – Den danske hovedlov gælder ikke, hvor energi- eller teleloven eller en tilsvarende sektorspecifik EU-regel dækker området.
Lov om styrket beredskab i energisektoren § 2 – Hvilke virksomheder loven gælder for – Opregner de typer af energivirksomheder, som energisektorens egen lov omfatter.
Lov om sikkerhed og beredskab i telesektoren § 1 – Hvem loven gælder for – Afgrænser telesektorens egen lov til udbydere af offentlige elektroniske kommunikationsnet og -tjenester.
DORA artikel 1 – Genstand – Bestemmer, at DORA for finansielle enheder er den sektorspecifikke regel, som går forud for NIS2.
DORA artikel 2 – Anvendelsesområde – Opregner de finansielle enheder og IKT-tredjepartsudbydere, som DORA gælder for.
CER artikel 1 – Genstand og anvendelsesområde – CER gælder som udgangspunkt ikke for de spørgsmål, NIS2 dækker, og de to direktiver skal gennemføres koordineret.

Den officielle ordlyd

§ 4. Enheder af en type, som er omfattet af lovens bilag 1, anses for at være væsentlige enheder, hvis enheden opfylder en af følgende betingelser, jf. dog stk. 2 og 3:

Enheden beskæftiger 250 personer eller derover.
Enheden har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro.

Stk. 2. Kommuner og regioner anses som væsentlige enheder, såfremt de med et kommercielt formål udfører opgaver som udbydere af offentlige elektroniske kommunikationsnet eller udbydere af offentligt tilgængelige elektroniske kommunikationstjenester og opfylder mindst en af følgende betingelser:

Enheden beskæftiger 50 personer eller derover.
Enheden har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro.

Stk. 3. Uanset deres størrelse anses følgende enheder for at være væsentlige enheder:

Kvalificerede tillidstjenesteudbydere og topdomæneadministratorer samt DNS-tjenesteudbydere.
Offentlige forvaltningsenheder under den centrale forvaltning.
Enheder, der er identificeret som kritiske enheder i henhold til CER-loven.
Enheder, der er blevet identificeret som operatører af væsentlige tjenester i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS I-direktivet), jf. dog § 5, stk. 2.
Øvrige enheder af en type, som er omfattet af lovens bilag 1 eller 2, hvor mindst en af følgende betingelser er opfyldt, jf. dog § 5, stk. 2:

a) Enheden er den eneste udbyder i Danmark af en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter.

b) En forstyrrelse af den tjeneste, som enheden leverer, vil kunne have væsentlig indvirkning på den offentlige sikkerhed eller folkesundheden.

c) En forstyrrelse af den tjeneste, som enheden leverer, vil kunne medføre en væsentlig systemisk risiko, navnlig for sektorer, hvor en sådan forstyrrelse kan have en grænseoverskridende virkning.

d) Enheden er kritisk på grund af sin specifikke betydning på nationalt eller regionalt plan for den pågældende sektor eller type af tjeneste eller for andre indbyrdes afhængige sektorer i Danmark.

Stk. 4. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om, hvornår enheder er omfattet af stk. 3, nr. 5.

Den officielle tekst følger LOV nr. 434 af 6. maj 2025.

→ Fuld officiel tekst på Retsinformation

Se kapitlet 1 – Anvendelsesområde, jurisdiktion, definitioner m.v.