Er kun nogle af koncernens selskaber omfattet af NIS 2, behøver koncernen ikke to målinger. Alle selskaber kan måles på samme skala med de samme spørgsmål, mens de omfattede får et højere målniveau på de områder, loven stiller krav til. Så kan tallene stadig sammenlignes, og forskellen i krav bliver synlig i målniveauet i stedet for i metoden.
Ét målesystem med to niveauer er et designvalg, som sitet anbefaler. Det er ikke et krav i loven, og der findes andre måder at gøre det på.
Loven gælder selskab for selskab
NIS 2-loven skelner mellem væsentlige og vigtige enheder, dels efter størrelse, dels efter type uanset størrelse (§§ 4-5). Styrelsens vejledning om anvendelsesområdet regner hver juridisk person med eget CVR-nummer som en enhed for sig. Derfor vurderes moder- og datterselskab hver for sig.
Ved vurderingen af størrelse kan partnervirksomheder og tilknyttede virksomheder ifølge vejledningen tælle med. Opererer en enhed i vid udstrækning uafhængigt af dem, særligt i sine net- og informationssystemer, kan den anses for at være under tærsklen. Det betyder, at et lille datterselskab ikke automatisk er uden for loven, fordi det selv er lille.
Hvilke af koncernens selskaber loven rammer, og hvor grænsen for auditten går, er et spørgsmål for sig, som NIS2-auditten tager sig af. Denne artikel forudsætter, at koncernen allerede ved, hvilke selskaber der er omfattet.
Hvorfor ikke to målinger?
Det kan virke naturligt at lave en NIS 2-måling i de omfattede selskaber og en lettere måling i resten. Men så har koncernen to måleserier, der ikke kan lægges sammen. Bestyrelsen kan ikke se, om de ikke-omfattede selskaber halter efter, og en ændring i, hvem der er omfattet, bryder serien.
Ét system med to niveauer undgår det. Spørgsmålene og skalaen er ens. Det, der adskiller selskaberne, er det niveau, de skal nå.
Sådan bygges de to niveauer
- (Risikostyring) · Målniveau for alle selskaber: (Trin 2: risici vurderes og registreres) · Målniveau for NIS 2-omfattede: (Trin 3: fast metode, ledelsens godkendelse og opfølgning)
- (Hændelseshåndtering) · Målniveau for alle selskaber: (Trin 2: plan og kontaktpersoner) · Målniveau for NIS 2-omfattede: (Trin 3: testet plan og fast proces for underretning)
- (Forsyningskæde) · Målniveau for alle selskaber: (Trin 2: oversigt over kritiske leverandører) · Målniveau for NIS 2-omfattede: (Trin 3: krav i kontrakter og opfølgning)
- (Ledelsens tilsyn) · Målniveau for alle selskaber: (Trin 2: årlig orientering) · Målniveau for NIS 2-omfattede: (Trin 3: godkendelse og dokumenteret tilsyn)
Indholdet i parentes er tænkt og skal erstattes af koncernens egne områder og trin. Områderne og trinene skal tilpasses koncernens egen model. Det vigtige er, at målniveauet for de omfattede selskaber bygger på det, loven kræver, mens niveauet for resten bygger på koncernens egen risikovurdering.
Lovens minimumsliste som grundlag
NIS 2-loven § 6, stk. 1, opregner det, en omfattet enhed mindst skal have af foranstaltninger. Listen kan kobles til målemodellens områder, så det er tydeligt, hvilke områder der har et højere niveau og hvorfor. Efter § 7 skal foranstaltningerne godkendes af enhedens ledelsesorgan, som også fører tilsyn med dem. Det er en god grund til at vise de omfattede selskabers bestyrelser netop afstanden til det højere niveau.
Koblingen mellem lovens liste og målemodellen er en tolkning, som koncernen selv skal tage ansvar for. Den erstatter ikke den vurdering af lovkravene, som hører til NIS 2-arbejdet.
Fælles tjenester i to niveauer
Leverer et fælles servicecenter tjenester til både omfattede og ikke-omfattede selskaber, er det praktisk at holde tjenesterne på det højeste af de to niveauer. Ellers skal servicecentret drive to standarder, og det omfattede selskab er afhængigt af en tjeneste, der kun lever op til det lave niveau. Mange koncerner løfter derfor de fælles tjenester først. Det giver også de ikke-omfattede selskaber et højere niveau på de områder, hvor de bruger fælles løsninger.
Når et selskab skifter status
Et selskab kan komme ind under loven eller falde ud, fx efter vækst, opkøb eller frasalg. Med ét system og to niveauer skifter selskabet blot målniveau. Måleserien fortsætter, og man kan se, hvor langt det har til det nye niveau. Skriv skiftet ind i målingens ændringslog med dato og begrundelse, så en ændring i den samlede afstand til målniveauet kan forklares.
Hvem fastsætter niveauerne?
Målniveauerne er en ledelsesbeslutning. I koncernen er det naturligt, at koncernledelsen fastsætter det fælles niveau, og at hvert omfattet selskabs bestyrelse godkender det højere niveau for sit eget selskab, fordi det er dén bestyrelse, der efter § 7 skal godkende foranstaltningerne. Skriv beslutningerne ned, så det senere kan ses, hvem der har fastsat hvad.
I rapporten
Vis de omfattede og de ikke-omfattede selskaber hver for sig og samlet. Vis afstanden til hvert selskabs eget målniveau sammen med scoren. Et ikke-omfattet selskab på trin 2 kan være helt i orden, mens et omfattet selskab på samme trin har et gab, som bestyrelsen skal kende.
Hvad det kræver, og hvad det koster at lade være
Det kræver en målemodel, hvor hvert område har et målniveau for alle og et for de omfattede, en kobling mellem lovens minimumsliste og modellens områder og en ændringslog, der viser, når et selskab skifter status.
Uden et fælles system får koncernen to måleserier, der ikke kan sammenlignes, og bestyrelsen mister overblikket over de selskaber, der ikke er omfattet. Når et selskab skifter status, starter dets måling forfra.
Det skal I lade være med
- At lave to separate målinger med forskellige skalaer · så kan tallene ikke lægges sammen.
- At antage, at små datterselskaber er uden for loven · størrelsen vurderes med partnere og tilknyttede virksomheder.
- At vise score uden målniveau · samme trin kan være godt nok i ét selskab og for lavt i et andet.
Det skal gennemgangen kunne vise
- ☐ En liste over koncernens selskaber med angivelse af, hvem der er NIS 2-omfattet.
- ☐ Målniveauer pr. område for alle selskaber og for de omfattede.
- ☐ En kobling mellem lovens minimumsliste og modellens områder.
- ☐ Afstanden til målniveauet pr. selskab.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4-7, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 1 og 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Markér i jeres målemodel de områder, hvor NIS 2-omfattede selskaber skal have et højere målniveau end resten.
Læs også: Datterselskabets egen bestyrelse · Mål én gang, rapportér mod flere krav
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
