NIS2 for produktionsvirksomheder i Danmark: elektronik, maskiner, køretøjer og medicinsk udstyr
Lovgivning: Danmark · NIS2-loven
Er fremstillingsvirksomheder omfattet af NIS2-loven?
Ja — fremstilling af blandt andet computere og elektroniske og optiske produkter, elektrisk udstyr, maskiner, motorkøretøjer og medicinsk udstyr er udtrykkeligt nævnt i bilag 2 til NIS2-loven (lov nr. 434 af 6. maj 2025) under sektoren »Fremstilling«. At sektoren står i bilaget gør dog ikke automatisk din virksomhed omfattet: du skal også opfylde et af størrelseskriterierne i § 4 eller § 5. Det første, du bør gøre, er derfor at fastslå din enhedstype efter bilag 2 og derefter måle antal ansatte, omsætning og balance mod tærsklerne — det kan du gøre på under ti minutter med en gratis selvevaluering.
Loven trådte i kraft den 1. juli 2025 (§ 33).
Sådan nævner den danske lov fremstillingssektoren
Fremstilling står i bilag 2 »Andre kritiske sektore«, nr. 5 »Fremstilling«, i NIS2-loven (lov nr. 434 af 6. maj 2025). Delsektorerne er ordret:
- a) Fremstilling af medicinsk udstyr og medicinsk udstyr til in vitro-diagnostik
- b) Fremstilling af computere og elektroniske og optiske produkter
- c) Fremstilling af elektrisk udstyr
- d) Fremstilling af maskiner og udstyr i.a.n.
- e) Fremstilling af motorkøretøjer, påhængsvogne og sættevogne
- f) Fremstilling af andre transportmidler
For delsektorerne b)–f) beskriver bilaget enhedstypen som »Virksomheder, der udøver en af de økonomiske aktiviteter, der er omhandlet i hovedafdeling C« i NACE Rev. 2 med henvisning til den enkelte hovedgruppe. Den konkrete aktivitetsliste vises særskilt ved siden af denne artikel.
For medicinsk udstyr lyder bilag 2 ordret: »Enheder, der fremstiller medicinsk udstyr som defineret i artikel 2, nr. 1, i Europa-Parlamentets og Rådets forordning (EU) 2017/745, og enheder, der fremstiller medicinsk udstyr til in vitro-diagnostik som defineret i artikel 2, nr. 2, i Europa-Parlamentets og Rådets forordning (EU) 2017/746, med undtagelse af enheder, der fremstiller medicinsk udstyr omhandlet i dette direktivs bilag I, punkt 5, femte led«.
Vær opmærksom på, at bilag 1 (»Sektorer af særlig kritisk betydning«) under sundhedssektoren separat omfatter enheder, som fremstiller medicinsk udstyr, der anses for kritisk i en folkesundhedsmæssig krisesituation efter artikel 22 i forordning (EU) 2022/123. Producenter af sådant udstyr skal derfor vurdere sig selv efter bilag 1 og ikke kun efter bilag 2.
Væsentlig enhed eller vigtig enhed — og hvilke tærskler gælder?
Loven bruger to statutariske kategorier: væsentlig enhed (§ 4) og vigtig enhed (§ 5).
| Kategori | Grundlag | Tærskel |
|---|---|---|
| Væsentlig enhed | § 4, stk. 1 (typer i bilag 1) | 250 personer eller derover, eller årlig omsætning over 50 mio. euro og årlig samlet balance over 43 mio. euro |
| Vigtig enhed | § 5, stk. 1 (typer i bilag 1 eller 2, som ikke opfylder § 4) | 50 personer eller derover, eller årlig omsætning over 10 mio. euro og årlig samlet balance over 10 mio. euro |
Fordi fremstilling står i bilag 2, vil en produktionsvirksomhed som udgangspunkt være vigtig enhed, når den opfylder tærsklen i § 5, stk. 1. Størrelseskriterierne i § 4, stk. 1, gælder efter ordlyden enheder af en type, der er omfattet af lovens bilag 1.
Uanset størrelse kan en enhed dog anses for væsentlig enhed efter § 4, stk. 3, nr. 5, hvis mindst én betingelse er opfyldt — blandt andet at enheden er den eneste udbyder i Danmark af en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter, at en forstyrrelse kan medføre væsentlig systemisk risiko, eller at enheden er kritisk på grund af sin specifikke betydning på nationalt eller regionalt plan. Det er relevant for specialiserede leverandører med få eller ingen alternativer i landet. Efter § 5, stk. 2, kan den kompetente myndighed træffe afgørelse om, at en enhed omfattet af § 4, stk. 3, nr. 4 eller 5, uanset størrelse skal anses for vigtig enhed.
Kernekravene: risikostyring og ledelsens ansvar
Loven stiller de samme grundkrav til alle omfattede enheder — der er ingen særskilte fremstillingsspecifikke pligter i lovteksten. Efter § 6, stk. 1 skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Foranstaltningerne skal som minimum omfatte:
- politikker for risikoanalyse og informationssystemsikkerhed
- håndtering af hændelser
- driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring
- forsyningskædesikkerhed, herunder forholdene til direkte leverandører og tjenesteudbydere
- sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder
- politikker og procedurer til vurdering af foranstaltningernes effektivitet
- grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse
- politikker og procedurer om kryptografi og, hvor relevant, kryptering
- personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver
- multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation samt sikrede nødkommunikationssystemer, hvor det er relevant
Listen svarer til art 21(2) i direktiv (EU) 2022/2555. Opfylder virksomheden ikke ét eller flere krav, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).
Ledelsen kan ikke uddelegere sig fri: foranstaltningerne skal godkendes af enhedens ledelsesorgan, som også fører tilsyn med gennemførelsen, og medlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes øvrige ansatte (§ 7).
Om indgivelse af oplysninger fastsætter § 33, stk. 3, at oplysningerne efter § 9, stk. 1, og § 10, stk. 1, skulle indgives senest den 1. oktober 2025. Bekræft venligst den praktiske fremgangsmåde i den offentliggjorte vejledning fra den kompetente myndighed på dit sektorområde (officiel kilde).
Underretning ved væsentlige hændelser og frister
Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og Computer Security Incident Response Team (CSIRT) om enhver væsentlig hændelse (§ 12, stk. 1). En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller hvis den har påvirket eller kan påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade (§ 12, stk. 2).
Fristerne i § 13, stk. 1:
- Tidlig varsling — uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til den væsentlige hændelse. Varslingen skal angive, om hændelsen mistænkes at være forårsaget af ulovlige eller ondsindede handlinger eller kunne have en grænseoverskridende virkning.
- Hændelsesunderretning — uden unødigt ophold og under alle omstændigheder inden for 72 timer efter kendskab, med en indledende vurdering af hændelsens alvor og indvirkning samt kompromitteringsindikatorer, hvor sådanne foreligger.
- Foreløbig rapport — efter anmodning fra CSIRT'en.
- Endelig rapport — senest 1 måned efter fremsendelsen af hændelsesunderretningen, med detaljeret beskrivelse, sandsynlig grundlæggende årsag, anvendte og igangværende afbødende foranstaltninger og eventuelle grænseoverskridende virkninger.
- Pågår hændelsen fortsat, indsendes en statusrapport og derefter en endelig rapport senest 1 måned efter, at hændelsen er håndteret.
CSIRT'en giver svar med indledende tilbagemeldinger inden for 24 timer efter modtagelsen af den tidlige varsling (§ 13, stk. 3). For en produktionsvirksomhed betyder fristerne i praksis, at vagtplan, kontaktveje og rapportskabeloner skal være klar på forhånd — også uden for normal arbejdstid.
Tilsyn og bøder
Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører tilsyn på deres respektive sektorområder (NIS2-loven §§ 12, 21-26), og de konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025. Der er altså ikke én central tilsynsmyndighed for alle sektorer.
Efter § 21, stk. 1, kan en kompetent myndighed over for en væsentlig enhed blandt andet foretage kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, kræve regelmæssige og målrettede sikkerhedsaudits (eventuelt udført af et kvalificeret uafhængigt organ), foretage sikkerhedsscanninger og kræve oplysninger, data og dokumentation for gennemførelsen af cybersikkerhedspolitikker.
Bøder: § 32 fastsætter bødestraf for blandt andet overtrædelse af § 6, stk. 1 eller 2, § 12, stk. 1, og § 13, stk. 1 eller 2, samt for at undlade at efterkomme afgørelser, påbud eller forbud fra en kompetent myndighed og for at hindre tilsyn. Selskaber m.v. (juridiske personer) kan pålægges strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). Loven angiver ikke selv bødebeløb eller -procenter; bekræft venligst bødeniveauet i den offentliggjorte vejledning fra den kompetente myndighed på dit sektorområde (officiel kilde).
Næste skridt: afklar din delsektor i bilag 2, mål virksomheden mod tærsklerne i § 4 og § 5, og lav en enkel selvevaluering af de ti minimumsforanstaltninger i § 6, stk. 1, inden ledelsen godkender dem efter § 7.
Aktivitetskoder (NACE rev. 2)
Denne sektors poster i NIS2-bilagene svarer én til én til følgende NACE rev. 2-aktivitetskoder. Listen dækker kun entydige match — nogle poster er defineret ved selve aktiviteten, ikke ved en kode.
NACE 26 — Fremstilling af computere, elektroniske og optiske produkterNACE 27 — Fremstilling af elektrisk udstyrNACE 28 — Fremstilling af maskiner og udstyr i.a.n.NACE 29 — Fremstilling af motorkøretøjer, påhængsvogne og sættevogneNACE 30 — Fremstilling af andre transportmidlerNACE 32.50 — Fremstilling af medicinske og dentale instrumenter samt udstyr hertil
DB25-branchekoder i denne sektor
Koderne kobles automatisk: sektorens NACE rev. 2-koder er via Eurostats officielle nøgletabel knyttet til NACE rev. 2.1-klasser og derfra til DB25-koder. Hvor en kobling ikke er entydig, udelades koden — listen er bevidst snarere for smal end for bred.
DB25 26.11.00 — Fremstilling af elektroniske komponenterDB25 26.12.00 — Fremstilling af printplader o.lign.DB25 26.20.00 — Fremstilling af computere og ydre enhederDB25 26.30.00 — Fremstilling af kommunikationsudstyrDB25 26.40.00 — Fremstilling af elektronik til husholdningerDB25 26.51.00 — Fremstilling af instrumenter og udstyr til måling, afprøvning og navigationDB25 26.52.00 — Fremstilling af ureDB25 26.60.10 — Fremstilling af høreapparater og dele hertilDB25 26.60.90 — Fremstilling af bestrålingsudstyr og elektromedicinsk og elektroterapeutisk udstyrDB25 26.70.00 — Fremstilling af optiske instrumenter, magnetiske og optiske medier og fotografisk udstyrDB25 27.11.00 — Fremstilling af elektriske motorer, generatorer og transformatorerDB25 27.12.00 — Fremstilling af elektriske fordelings- og kontrolapparaterDB25 27.20.00 — Fremstilling af batterier og akkumulatorerDB25 27.31.00 — Fremstilling af lyslederkablerDB25 27.32.00 — Fremstilling af andre elektroniske og elektriske ledninger og kablerDB25 27.33.00 — Fremstilling af tilbehør til ledninger og kablerDB25 27.40.00 — Fremstilling af belysningsartiklerDB25 27.51.00 — Fremstilling af elektriske husholdningsapparaterDB25 27.52.00 — Fremstilling af ikke-elektriske husholdningsapparaterDB25 27.90.00 — Fremstilling af andet elektrisk udstyrDB25 28.11.00 — Fremstilling af motorer og turbiner, undtagen motorer til flyvemaskiner, motorkøretøjer og knallerterDB25 28.12.00 — Fremstilling af hydraulisk udstyrDB25 28.13.00 — Fremstilling af andre pumper og kompressorerDB25 28.14.00 — Fremstilling af andre haner og ventilerDB25 28.15.00 — Fremstilling af lejer, tandhjul, tandhjulsudvekslinger og drivelementerDB25 28.22.00 — Fremstilling af løfte- og håndteringsudstyrDB25 28.23.00 — Fremstilling af kontormaskiner og -udstyr, undtagen computere og ydre enhederDB25 28.24.00 — Fremstilling af motordrevet håndværktøjDB25 28.25.00 — Fremstilling af klimaanlæg, ikke til husholdningsbrugDB25 28.29.00 — Fremstilling af andre maskiner til generelle formål i.a.n.DB25 28.30.00 — Fremstilling af landbrugs- og skovbrugsmaskinerDB25 28.41.00 — Fremstilling af metalforarbejdende maskiner og maskinværktøj til bearbejdning af metalDB25 28.42.00 — Fremstilling af andet maskinværktøjDB25 28.91.00 — Fremstilling af maskiner til metallurgiDB25 28.92.00 — Fremstilling af maskiner til råstofindvindingsindustrien samt bygge- og anlægDB25 28.93.00 — Fremstilling af maskiner til føde-, drikke- og tobaksvareindustrienDB25 28.94.00 — Fremstilling af maskiner til produktion af tekstiler, beklædningsartikler og læderDB25 28.95.00 — Fremstilling af maskiner til produktion af papir og papDB25 28.96.00 — Fremstilling af maskiner til produktion af plast og gummiDB25 28.97.00 — Fremstilling af maskiner til additiv fremstillingDB25 28.99.00 — Fremstilling af andre maskiner til specielle formål i.a.n.DB25 29.10.00 — Fremstilling af motorkøretøjerDB25 29.20.00 — Fremstilling af karosserier til motorkøretøjer; fremstilling af påhængsvogne og sættevogneDB25 29.31.00 — Fremstilling af elektrisk og elektronisk udstyr til motorkøretøjerDB25 30.11.00 — Bygning af civile skibe og flydende materielDB25 30.12.00 — Bygning af både til fritid og sportDB25 30.13.00 — Bygning af militærfartøjerDB25 30.20.00 — Fremstilling af lokomotiver og andet rullende materiel til jernbaner og sporvejeDB25 30.31.00 — Fremstilling af civile luft- og rumfartøjer o.lign.DB25 30.32.00 — Fremstilling af militære luft- og rumfartøjer o.lign.DB25 30.40.00 — Fremstilling af militære kampkøretøjerDB25 30.91.00 — Fremstilling af motorcyklerDB25 30.92.00 — Fremstilling af cykler og kørestoleDB25 30.99.00 — Fremstilling af andre transportmidler i.a.n.
Se også sektorsiden: Fremstilling
Ofte stillede spørgsmål
Er en maskin- eller elektronikproducent væsentlig eller vigtig enhed?
Fremstilling står i bilag 2 til NIS2-loven, så en virksomhed i sektoren vil som udgangspunkt være vigtig enhed, hvis den beskæftiger 50 personer eller derover eller har en årlig omsætning over 10 mio. euro og en årlig samlet balance over 10 mio. euro (§ 5, stk. 1). Uanset størrelse kan en enhed dog anses for væsentlig enhed efter § 4, stk. 3, nr. 5, for eksempel hvis den er den eneste udbyder i Danmark af en væsentlig tjeneste.
Gælder der særlige NIS2-krav for producenter af medicinsk udstyr?
Bilag 2, nr. 5, litra a, omfatter enheder, der fremstiller medicinsk udstyr efter forordning (EU) 2017/745, og medicinsk udstyr til in vitro-diagnostik efter forordning (EU) 2017/746. Derudover omfatter bilag 1 under sundhed enheder, som fremstiller medicinsk udstyr, der anses for kritisk i en folkesundhedsmæssig krisesituation efter artikel 22 i forordning (EU) 2022/123. Selve pligterne i § 6, § 7, § 12 og § 13 er de samme for alle omfattede enheder.
Hvor hurtigt skal en produktionsvirksomhed melde en hændelse?
En tidlig varsling skal sendes uden unødigt ophold og senest inden for 24 timer efter kendskab til den væsentlige hændelse, og en hændelsesunderretning inden for 72 timer. En endelig rapport sendes senest 1 måned efter hændelsesunderretningen (§ 13, stk. 1). Underretningen går til den relevante kompetente myndighed og CSIRT (§ 12, stk. 1).
Hvad risikerer virksomheden ved manglende overholdelse?
Efter § 32 straffes blandt andet overtrædelse af § 6, stk. 1 eller 2, § 12, stk. 1, og § 13, stk. 1 eller 2, med bøde, ligesom manglende efterkommelse af afgørelser, påbud og forbud samt hindring af tilsyn er strafbelagt. Juridiske personer kan pålægges strafansvar efter straffelovens 5. kapitel. Bødebeløb fremgår ikke af lovteksten — bekræft niveauet i den offentliggjorte vejledning fra den kompetente myndighed på dit sektorområde.
Tjek din NIS2-overholdelse
Start det gratis anvendelsestjek
Kør den gratis selvevaluering Kør det gratis eksterne sikkerhedstjek
Den komplette NIS2-guide — Danmark →
Denne artikel er generel information, ikke juridisk rådgivning. Kontakt en kvalificeret fagperson vedrørende din specifikke situation.
Indholdet er baseret på NIS2-loven-udgaven gældende pr. 2025-07-01 (kontrolsum 8cf0787d6a4d).