For de største virksomheder i energisektoren findes der et krav om placering: servere og datacentre, der understøtter forsyningskritiske systemer, skal ligge i EU- eller EØS-lande. Kravet står i en sektorbekendtgørelse og gælder kun virksomheder i de to højeste niveauer, så andre forsynings- og produktionsvirksomheder vælger placeringen ud fra deres egen vurdering af drift og risiko.
OT, operationel teknologi, er de systemer, der styrer anlæg og processer: pumper, ventiler, transformere og produktionslinjer. De lever længe, og de kan ikke vente på en server langt væk. Artiklen handler om, hvor de systemer og serverne bag dem kan ligge. Reglerne er gengivet forenklet og er slået op pr. november 2026.
Energisektoren har sin egen lov
Energivirksomheder, der hører under den særlige beredskabslov for energi, er så langt holdt uden for NIS2-loven (NIS2-lovens § 1, stk. 2). Energiloven er lov nr. 258 af 6. marts 2025. § 8, stk. 2, giver ministeren hjemmel til at fastsætte regler om bl.a. sikkerhedskrav til geografisk placering af drift af net- og informationssystemer og om backup og genopretning. § 16 giver hjemmel til regler om baggrundskontrol af personer med direkte, indirekte eller fjernadgang.
De nærmere regler findes i bekendtgørelse nr. 260 fra marts 2025. § 4 inddeler virksomhederne i fem niveauer efter tærskler i bilaget, og Energistyrelsen træffer afgørelse om niveauet. § 3 definerer forsyningskritiske net- og informationssystemer som systemer, der direkte kan afbryde eller påvirke processer, der er nødvendige for forsyningen, herunder industrielle kontrolsystemer og operationel teknologi.
Kravet om placering
§ 50 i bekendtgørelsen siger: “Virksomheder i niveau 4 og 5 skal placere servere og datacentre, der understøtter virksomhedens forsyningskritiske net- og informationssystemer, inden for EU/EØS-lande.”
Tre afgrænsninger er vigtige. Kravet gælder kun niveau 4 og 5. Det gælder kun servere og datacentre bag de forsyningskritiske systemer. Og det nævner EU- eller EØS-lande, uden krav om Danmark eller om europæisk ejerskab. Om en cloudtjeneste med datacenter i EU opfylder kravet, hvis udbyderen hører hjemme uden for EU, afgør bekendtgørelsens ordlyd ikke efter vores læsning. Det er et spørgsmål til advokat eller til Energistyrelsen.
Bekendtgørelsen stiller også krav til leverandøraftaler. De skal bl.a. sikre underretning om hændelser, adgang til leverandøren ved tilsyn, at virksomheden bevarer ejerskab til nødvendige og fortrolige data, og procedurer for leverandørers fjernadgang.
Vi har set bekendtgørelsen i den form, den havde i november 2026. Om den er ændret siden, har vi ikke tjekket. Slå den op, før I bruger reglen i en beslutning.
Drikkevand, spildevand og produktion
Drikkevand og spildevand står som sektorer i NIS2-loven. Den lov stiller intet krav om placering efter vores gennemgang af ordlyden, se Kræver NIS2 en europæisk cloud? Sektorregler for vand ud over NIS2-loven har vi ikke læst.
At anlæg kan køre videre uden forbindelse til omverdenen, er et driftshensyn. Vi har ikke fundet det som lovkrav med de søgeord, vi har brugt. For produktionsvirksomheder gælder det samme. Placeringen bestemmes af, hvad anlægget skal kunne, når nettet er væk.
Hvad der hører til lokalt, og hvad der kan ligge i cloud
Uanset sektor kan OT-miljøet deles i lag efter, hvor tæt de er på processen. Det nederste lag styrer anlægget direkte og skal virke, selv om forbindelsen udadtil er afbrudt. Det ligger lokalt. Laget over samler data, viser tilstand og giver operatørerne overblik. Det kan ligge lokalt eller i et datacenter tæt på. Øverst ligger analyse, planlægning og rapportering, som kan ligge i cloud uden at gøre driften af anlægget sårbar.
Det praktiske spørgsmål for hvert system er derfor, hvad der sker, hvis forbindelsen til cloud forsvinder i en time, et døgn eller en uge. Kan anlægget køre? Kan operatørerne se, hvad der sker? Går data tabt? Svarene placerer systemet. Hvad der skal blive lokalt i produktionen, står i Edge i produktionen.
Har en leverandør adgang til at styre anlægget på afstand, er det en del af samme billede. Planen for den situation står på exit-plan.dk.
Hvad det kræver, og hvad det koster at lade være
For en energivirksomhed er første skridt at kende sit niveau efter Energistyrelsens afgørelse og at liste de forsyningskritiske systemer med placering af servere og datacentre. Det tager nogle dage. For alle forsynings- og produktionsvirksomheder er lagdelingen af OT-miljøet og spørgsmålet om afbrudt forbindelse en workshop på en dag pr. anlæg med drift og OT-ansvarlige.
Lader en virksomhed i niveau 4 eller 5 være, kan forsyningskritiske systemer ligge uden for EU/EØS i strid med § 50. For de øvrige er prisen en placering, ingen har prøvet af mod det, anlægget skal kunne under et udfald.
Det skal I lade være med
- At læse § 50 bredere end ordlyden · den gælder niveau 4 og 5 og forsyningskritiske systemer.
- At kalde drift uden forbindelse et lovkrav · vi har ikke fundet det som regel.
- At lægge styringen af anlægget i cloud · det nederste lag skal virke lokalt.
Det skal valget kunne vise
- ☐ Virksomhedens niveau efter bekendtgørelsen, hvis I er i energisektoren.
- ☐ Placering af servere og datacentre for hvert forsyningskritisk system.
- ☐ For hvert OT-system: hvad der sker ved afbrudt forbindelse.
- ☐ Leverandører med fjernadgang og procedurerne for den.
Kilder
- Lov nr. 258 af 6. marts 2025 om styrket beredskab i energisektoren: § 6, § 8 og § 16.
- Bekendtgørelse nr. 260 af 6. marts 2025: § 3, § 4 og § 50.
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2, og bilag 1.
Senest gennemgået: november 2026.
Næste skridt
List jeres OT-systemer i tre lag, og skriv for hvert, hvad der sker, når forbindelsen udadtil forsvinder.
Læs også: Forbindelser: to veje ud af datacentret · Fjernadgang er også en overførsel
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
