Udbydere af cloud, datacentertjenester og administrerede IT-tjenester står direkte i NIS2-lovens bilag, så jeres hostingleverandør kan selv have pligter efter loven, når den har en vis størrelse. Det ændrer intet ved jeres egen pligt til at styre risikoen i leverandørkæden, hvis I selv er omfattet.
Artiklen er til den driftsansvarlige, der vil vide, hvad leverandørens status betyder i praksis. Lovens ordlyd er gengivet forenklet. Om en konkret leverandør er omfattet, afgør artiklen ikke, og det er et spørgsmål til leverandøren selv eller til advokat.
Hvor leverandøren står i loven
Sektorerne står i bilag 1 til NIS2-loven (lov nr. 434 af 2025). Under sektor 8, digital infrastruktur, står bl.a. udbydere af cloudcomputingtjenester og udbydere af datacentertjenester. Under sektor 9, forvaltning af IKT-tjenester mellem virksomheder, står udbydere af administrerede tjenester og administrerede sikkerhedstjenester.
§ 3 definerer begreberne. Forenklet gengivet er en cloudcomputingtjeneste en digital tjeneste, hvor kunden selv kan bestille og få adgang til en skalerbar pulje af delte ressourcer, også fordelt på flere steder. En datacentertjeneste dækker bygninger og faciliteter til at huse, forbinde og drive IT- og netværksudstyr, med strøm og køling. En udbyder af administrerede tjenester installerer, administrerer, driver eller vedligeholder IT-produkter, net, infrastruktur, applikationer eller systemer, enten hos kunden eller på afstand.
Det sidste kan ramme danske driftsleverandører. En leverandør, der driver jeres servere i jeres eget serverrum, kan altså høre til i sektor 9, selv om den ikke ejer et datacenter.
Størrelsen afgør, om den er omfattet
§ 4 og § 5 afgrænser væsentlige og vigtige enheder efter størrelse, målt på antal ansatte og økonomiske tærskler. Mindre virksomheder er som udgangspunkt ikke omfattet, medmindre særlige forhold i § 4, stk. 3, gør sig gældende. En lille dansk hostingleverandør kan altså stå uden for loven, selv om dens tjeneste står i bilaget.
§ 2, stk. 2 og 3, lægger tilsynet med cloud-, datacenter- og administrerede tjenester i det land, hvor udbyderens hovedforretningssted ligger. Det er der, beslutningerne om cybersikkerhed overvejende træffes. Er udbyderen ikke etableret i EU, skal den efter stk. 4 udpege en repræsentant i EU.
§ 9 kræver, at udbydere af cloud-, datacenter- og administrerede tjenester registrerer sig med navn, adresse, sektor, kontaktoplysninger og de medlemsstater, de leverer i. Hvilken dansk myndighed der fører tilsyn med sektor 8 og 9, har vi ikke slået op i bekendtgørelserne.
Direkte regler for leverandøren
Gennemførelsesforordning (EU) 2024/2690 stiller detaljerede krav til netop cloud, datacentre og administrerede tjenester og nogle få andre digitale tjenester. Den gælder direkte for dem. Bilaget kræver bl.a. analyse af forretningskonsekvenser, planer for kontinuitet, der testes, og backup, der omfatter konfigurationsdata og data i cloud og ligger uden for samme netværk.
For en kunde er det nyttigt at kende. Er leverandøren omfattet, har den selv pligt til at kunne dokumentere de ting. Det giver jer konkrete spørgsmål at stille, fx om test af gendannelse og om, hvor kopierne ligger.
Det, der ikke kan overlades
Er I selv omfattet af NIS2-loven, kræver § 6, stk. 1, nr. 4, at I tager hånd om sikkerheden i forsyningskæden, herunder forholdet til jeres direkte leverandører og tjenesteudbydere. § 7 lægger godkendelse og tilsyn hos jeres ledelse.
Det er vores læsning af § 6 og § 7, at leverandørens egen NIS2-pligt ikke fritager jer. I skal stadig vurdere leverandøren, stille krav i aftalen og følge op. Leverandørens registrering og papirer indgår i jeres vurdering som materiale. Vurderingen skal I stadig selv lave.
Er I ikke selv omfattet, har leverandørens status stadig værdi. Den viser, at leverandøren arbejder under et regelsæt med krav til kontinuitet og backup, som I kan spørge ind til.
Sådan bruger driften det
Spørg jeres hostingleverandør, om den er registreret efter § 9, i hvilken sektor, og hvilket land den har hovedforretningssted i. Bed om den dokumentation, gennemførelsesforordningen kræver af den, i det omfang den vil dele den. Notér svarene med dato i jeres leverandøroversigt.
Ved et skifte af leverandør er de samme spørgsmål en del af sammenligningen. En mindre europæisk udbyder kan stå uden for loven på grund af størrelsen. Det siger intet om kvaliteten. I skal så selv stille de krav, loven ellers ville have stillet.
Hvad det kræver, og hvad det koster at lade være
Spørgsmålene til leverandøren tager en time at formulere og et par uger at få svar på. Gennemgangen af svarene og indarbejdelsen i leverandøroversigten tager en dag pr. kritisk leverandør.
Lader I være, mangler I et billede af, hvad leverandøren selv er forpligtet til. Ved et tilsyn hos jer kan I så ikke vise, hvordan I har vurderet den. Og ved valg af ny leverandør sammenligner I uden at vide, om kravene til kontinuitet og backup ligger hos den eller hos jer.
Det skal I lade være med
- At læse leverandørens status som jeres egen opfyldelse · forsyningskæden er jeres ansvar efter § 6.
- At gå ud fra, at alle hostingleverandører er omfattet · størrelsen afgør det.
- At glemme driftsleverandøren i jeres eget serverrum · administrerede tjenester står også i bilaget.
Det skal valget kunne vise
- ☐ Om leverandøren er registreret efter NIS2-loven, og i hvilken sektor.
- ☐ Hovedforretningssted og eventuel repræsentant i EU.
- ☐ Leverandørens dokumentation for kontinuitet og backup, med dato.
- ☐ Jeres egen vurdering af leverandøren, godkendt af ledelsen.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 2 til § 7, § 9 og bilag 1. Læst november 2026.
- Gennemførelsesforordning (EU) 2024/2690: art. 1 og bilaget, punkt 4 og 5.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres tre vigtigste driftsleverandører op, og spørg dem om registrering og hovedforretningssted.
Læs også: Ansvarsdeling på en europæisk platform · Hostingaftalen: punkterne, en driftsansvarlig skal læse
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
