Nej, ikke i lovens ordlyd. Den danske NIS2-lov indeholder intet krav om, at en virksomheds systemer eller data skal ligge i EU eller hos en europæisk udbyder, så valget af placering er jeres egen risikovurdering. Et krav om placering kan komme andre steder fra, fx fra en sektorregel eller fra en kunde.
Svaret bygger på en gennemgang af lovteksten. Bekendtgørelser under NIS2-loven for de enkelte sektorer har vi ikke gennemgået, og der kan stå mere i dem. Artiklen er ingen juridisk vurdering af jeres situation.
Det, vi har søgt efter i loven
Den danske NIS2-lov fra maj 2025 er gennemsøgt. Vi har søgt i teksten efter ord som “tredjeland”, “uden for EU” og placering af data og systemer. Søgningen gav intet krav om, hvor en omfattet enheds systemer skal ligge.
Der hvor loven nævner EU, handler det om jurisdiktion over udbydere. § 2 fastlægger, hvilket land der fører tilsyn med fx cloud- og datacenterudbydere, ud fra hvor deres hovedforretningssted ligger. § 2, stk. 4, kræver, at en udbyder uden etablering i EU udpeger en repræsentant i EU. Det er regler om udbyderen og om tilsynet. De siger intet om, hvor kunden må lægge sine data.
Det, loven kræver i stedet
Loven kræver i § 6, stk. 1, foranstaltninger, der står i forhold til risikoen. Blandt minimumskravene er driftskontinuitet med backup og genopretning (nr. 3) og sikkerhed i forsyningskæden, herunder forholdet til de direkte leverandører (nr. 4). § 7 lægger godkendelsen hos ledelsen.
Det er her, placeringen kommer ind. I skal kunne vurdere risikoen ved jeres leverandører og deres placering. Konklusionen kan blive, at et system bør ligge et bestemt sted. Den konklusion er jeres egen og bygger på vurderingen.
SAMSIK’s vejledning til loven fra juni 2025 nævner leverandørens økonomi og geopolitiske risici som kriterier ved valg af leverandør. Den nævner også evnen til at vælge en alternativ leverandør og begrænse afhængighed. Det er vejledning og intet lovkrav. Den giver jer et grundlag for at tage placering med i vurderingen.
Et placeringskrav kan komme fra en sektorregel
Energisektoren viser, hvordan et placeringskrav ser ud, når det findes. Energivirksomheder under den særlige beredskabslov for energi falder efter NIS2-lovens § 1, stk. 2, uden for NIS2-loven, så langt den særlige lov rækker. Under den lov kræver § 50 i energiens beredskabsbekendtgørelse fra marts 2025, at virksomheder i de to højeste niveauer placerer servere og datacentre, der understøtter deres forsyningskritiske systemer, i EU- eller EØS-lande.
Kravet gælder kun de største energivirksomheder og kun de forsyningskritiske systemer. Det viser, at et krav om placering kan komme fra en sektorregel med en klar afgrænsning. Vi har set bekendtgørelsen pr. november 2026 og ikke tjekket, om den siden er ændret. Mere om energi og drift står i Forsyning og produktion: OT, cloud og lokal drift.
Finansielle virksomheder har DORA med egne krav om koncentration og exit. De står i DORA og cloud.
Når kunden spørger
Spørgsmålet om placering kan også komme fra en kunde. En kunde, der selv er omfattet af NIS2, skal vurdere sine leverandører og kan sætte krav om placering ind i sine egne aftaler. Det er et kontraktkrav, og det kan være lige så bindende for jer som en lov. Svaret til kunden står i Kunden kræver europæisk hosting.
Sådan bruger driften svaret
Tag placering med som et felt i jeres risikovurdering af hver kritisk leverandør. Skriv ned, hvor data og systemer ligger, hvem der kan tilgå dem, og hvilket land udbyderen hører under. Skriv også, hvad der sker med jeres drift, hvis adgangen til tjenesten stopper.
Er konklusionen, at et system skal flytte, er det en beslutning med jeres egne argumenter. Er konklusionen, at det kan blive, er det også en gyldig beslutning, så snart den er taget og dokumenteret. Hvad NIS2 betyder for planen om at kunne komme ud, står på exit-plan.dk.
Hvad det kræver, og hvad det koster at lade være
Placeringsfeltet i risikovurderingen tager en halv time pr. leverandør at udfylde, hvis I har leverandøroversigten i forvejen. Har I den ikke, er det første opgave og tager nogle dage for en mellemstor virksomhed.
Lader I være, kan to ting ske. Enten flytter I systemer i den tro, at loven kræver det, og bruger kræfter på et skifte uden grundlag. Eller I afviser spørgsmålet, fordi loven ikke kræver det, og overser en reel risiko eller et krav fra en kunde. Begge dele koster mere end at have vurderingen skrevet ned.
Det skal I lade være med
- At skrive, at NIS2 kræver europæisk cloud · ordlyden siger det ikke.
- At udelade placering af vurderingen · forsyningskæden er et minimumskrav.
- At overse sektorregler · energisektoren har et krav om placering.
Det skal valget kunne vise
- ☐ Placering og jurisdiktion for hver kritisk leverandør.
- ☐ Om en sektorregel gælder for jer, og hvad den siger.
- ☐ Kundekrav om placering, med kilde i aftalen.
- ☐ Ledelsens beslutning om hvert system, med begrundelse.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 1, § 2, § 6 og § 7. Læst november 2026.
- Styrelsen for Samfundssikkerhed, vejledning til NIS 2-loven, juni 2025: kriterier for valg af leverandør.
- Bekendtgørelse nr. 260 af 6. marts 2025: § 50.
Senest gennemgået: november 2026.
Næste skridt
Tilføj placering og jurisdiktion som felter i jeres leverandøroversigt, og udfyld dem for de kritiske leverandører først.
Læs også: Compliance som grund · Jurisdiktion omsat til arkitektur
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
