min kunde spørger, om vi falder ind under NIS2, hvad skal jeg udfylde

Normalt udfylder du "nej" eller "ikke direkte", medmindre du selv er i en udpeget sektor

De fleste leverandører er ikke selv omfattet af NIS2 — de føler direktivet indirekte, fordi deres kunde (som vel er omfattet af NIS2) stiller krav via kontrakten. Hvis din virksomhed ikke er i en af de udpegede sektorer (energi, transport, digital infrastruktur, sundhedsvæsen og et antal andre, der er opført i bilag I og II til direktivet) og ikke overstiger den størrelsesklasse, som direktivet anvender, udfylder du normalt "nej" eller "ikke relevant". Du bør ikke selv beslutte dig på basis af et gæt om din egen status: er virksomheden omfattet af NIS2-direktivet eller dets nationale gennemførelse redegør for, hvordan du kontrollerer det, herunder Cybersikkerhedsloven, som er den danske implementering og træder i kraft den 15. august 2026.

Vigtigere end spørgsmålet "er vi omfattet af NIS2" er ofte det spørgsmål, der ligger bag: din kunde vil vide, om du også anvender de ti foranstaltninger i artikel 21, stk. 2 i direktivet, selv hvis du ikke selv er omfattet af loven. Mange spørgeskemaer formulerer det løst som "er I NIS2-kompliante", mens de faktisk spørger om risikostyring, hændelsesberedskab, kontinuitet og adgangskontrol. Besvar derfor ikke kun statusspørgsmålet, men kontroller også, om listen stiller opfølgningsspørgsmål, som du allerede kan dække med eksisterende svar, for eksempel om politik for risikovurdering og sikring af informationssystemer.

Retsgrundlag: artikel 21, stk. 2 og din virksomheds status

Artikel 21, stk. 2 i direktiv (EU) 2022/2555 nævner de ti foranstaltninger, som en "væsentlig" eller "vigtig" enhed omfattet af NIS2 skal træffe; spørgsmålet om du har denne status følger af sektorlisterne i bilag I og II til samme direktiv og, for Danmark, af Cybersikkerhedsloven. ISO/IEC 27001 Annex A er ikke en juridisk kilde, men en almindeligt anvendt praktisk implementering af de samme foranstaltninger — hvis du er certificeret herfor, er det relevant bevis, ikke et svar på selve statusspørgsmålet.