D-mærkets NIS2-modul lægger ekstra krav til syv af de ti minimumskrav i NIS 2. Mærket skriver selv, at kun myndighederne kan vurdere og garantere, om en virksomhed lever op til NIS 2-lovgivningen, og at mærket ikke kan garantere efterlevelse.
For en koncern gør det modulet til en brugbar målestok for, hvor langt selskaberne er med en del af NIS 2-arbejdet. Det gør det ikke til et bevis for, at koncernen overholder loven.
Hvad modulet er
Modulet er beskrevet på D-mærkets side om NIS 2, læst den 14. november 2026. Ifølge siden tilfører modulet krav til 7 ud af de 10 minimumskrav i NIS 2. Siden nævner som eksempler hændelseshåndtering, kryptografi, netværkssegmentering, fysisk sikkerhed og test af effektiviteten af risikostyringen. Listen er eksempler og ikke en udtømmende oversigt.
Siden oplyser også, at virksomheder, der forventes at være omfattet af NIS 2, typisk ligger i D-mærkets gruppe III eller IV. Det er de grupper, der omfatter større producenter, forsyning og infrastruktur, store finansielle organisationer og børsnoterede virksomheder.
Hvilke tre minimumskrav modulet ikke lægger krav til, står ikke på siden, og vi gengiver det ikke. En koncern, der vil bruge modulet, bør få det oplyst af ordningen, før målingen bygges op.
Mærket kan ikke garantere efterlevelse
D-mærket er tydeligt om grænsen. Siden siger, at det kun er myndighederne, der kan vurdere og garantere, om en virksomhed lever op til NIS 2-lovgivningen. Mærket kan ikke garantere efterlevelse.
Det skal stå i koncernens rapport, hvis modulet bruges. Ellers kan bestyrelsen læse et opnået modul som et svar på, om koncernen overholder loven. Det spørgsmål kan modulet ikke besvare, og lovens krav og deres audit hører til NIS2-auditten og den almene sikkerhedsaudit.
Modulet som målestok
- Hvor langt er selskaberne med de dækkede minimumskrav? · Hvad modulet kan bidrage med: En fælles liste med krav, målt ens · Hvad det ikke kan: Sige noget om de minimumskrav, modulet ikke dækker
- Er der en ekstern kontrol? · Hvad modulet kan bidrage med: Tilsyn ved mærkets auditorer, hvis mærket søges · Hvad det ikke kan: Erstatte myndighedernes vurdering
- Kan selskaberne sammenlignes? · Hvad modulet kan bidrage med: Ja, hvis de måles mod samme modul · Hvad det ikke kan: Sammenligne med selskaber, der bruger en anden ramme
Brugt som målestok kan modulet give koncernen et dansk sprog for en del af NIS 2-arbejdet. Det kan være lettere at forklare for lokale ledelser end en international ramme.
I en koncern, hvor kun nogle selskaber er omfattet
Mange koncerner har selskaber, der er omfattet af NIS 2, og selskaber, der ikke er. Det følgende er praksis.
En mulig model er at bruge koncernens fælles sikkerhedsramme som gulv for alle selskaber og lægge NIS2-modulet ovenpå som et tillæg for de omfattede. Tillægget måles og rapporteres for de omfattede selskaber, men indgår ikke i den fælles koncernscore. Så kan koncernen følge NIS 2-arbejdet i de selskaber, hvor det gælder, uden at de andre ser ud til at halte.
Modellen kræver, at koncernen ved, hvilke selskaber der er omfattet. Den vurdering er juridisk og hører ikke til målingen. Hvordan to niveauer i ét målesystem kan bygges, står i ét målesystem med to niveauer.
Det, der skal dækkes ved siden af
Fordi modulet lægger krav til syv af ti minimumskrav, efterlader det tre, som koncernen selv skal måle. Koncernen bør derfor have en oversigt over, hvilke minimumskrav modulet dækker, og hvilke der dækkes på anden måde, fx af koncernens fælles ramme. Uden oversigten kan et selskab se ud til at være dækket, fordi det har opnået modulet, mens tre krav ikke er målt af nogen.
Desuden lægger modulet krav til minimumskravene. Det siger ikke i sig selv, hvor dybt kravene går i forhold til lovens ordlyd. Det er endnu en grund til, at modulet bruges som målestok og ikke som facit.
Mærkets øvrige kriterier
NIS2-modulet bygger oven på D-mærkets otte kriterier. En koncern, der bruger modulet, får derfor også mærkets brede liste med emner som transparens, dataetik og pålidelige algoritmer med i købet. Mærkets grupper og kriterier er beskrevet i D-mærket i en stor virksomhed.
Et tænkt eksempel
En koncern har fem selskaber, hvoraf to er omfattet af NIS 2 (tænkt eksempel). Koncernen måler alle fem efter sin fælles ramme. De to omfattede selskaber søger desuden D-mærket med NIS2-modulet. I koncernens rapport står de to selskaber med deres fælles score og et tillæg, der viser modulets status. Under tillægget står en note om, at modulet ikke garanterer efterlevelse, og en oversigt over, hvordan de tre minimumskrav uden for modulet er dækket. Bestyrelsen kan dermed se både det, der er målt, og det, der ikke er.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen ved, hvilke selskaber der er omfattet af NIS 2, at den kender modulets dækning i den aktuelle udgave, og at den dækker de tre øvrige minimumskrav på anden måde. Det kræver også, at rapporten siger tydeligt, hvad modulet ikke kan garantere.
Bruges modulet uden de forbehold, får bestyrelsen et indtryk af lovefterlevelse, som hverken mærket eller målingen kan bære. Det kan stå i vejen for det arbejde med loven, som stadig mangler.
Det skal I lade være med
- At præsentere modulet som bevis for, at NIS 2 er overholdt · mærket siger selv, at det ikke kan garantere det.
- At glemme de minimumskrav, modulet ikke dækker · de skal måles på anden måde.
- At lade modulet indgå i den fælles koncernscore · det giver ikke-omfattede selskaber et skævt billede.
Det skal gennemgangen kunne vise
- ☐ En oversigt over, hvilke selskaber der er omfattet af NIS 2, og hvem der har vurderet det.
- ☐ En oversigt over de minimumskrav, modulet dækker, og hvordan de øvrige dækkes.
- ☐ Modulets status pr. omfattet selskab.
- ☐ En note i rapporten om, at mærket ikke garanterer efterlevelse.
Kilder
- D-mærket, NIS2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en oversigt over de ti minimumskrav og skriv for hvert, hvordan det måles i jeres omfattede selskaber.
Læs også: Kun nogle selskaber er NIS2-omfattede · Mapping mellem rammer
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
