Faldgruber, exit og officielle kilder
NIS2 og bogføringsloven: hvad betyder de for valg af hosting og cloud?
Hvornår cloud- og datacenterudbydere er omfattet af NIS2-loven, hvad kunder skal kræve i leverandørkæden, og bogføringslovens krav til backup i EU/EØS og 5 års opbevaring.
To danske regelsæt påvirker valget af hosting direkte. NIS2-loven (lov nr. 434 af 6. maj 2025, i kraft 1. juli 2025) omfatter bl.a. udbydere af cloudcomputingtjenester og datacentertjenester og udbydere af administrerede tjenester, når de opfylder størrelseskravene, og den kræver af omfattede virksomheder, at de håndterer sikkerheden i leverandørkæden. Bogføringsloven (lov nr. 700 af 24. maj 2022) kræver, at regnskabsmateriale opbevares i 5 år, og for virksomheder med et ikke-registreret digitalt bogføringssystem skal der mindst ugentligt tages en fuld sikkerhedskopi, som opbevares hos en ikke-nærtstående part på en server i et EU- eller EØS-land. Begge dele har en pris, og begge bør stå i kravspecifikationen.
Guiden hører under faldgruber og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.
NIS2: er hostingudbyderen omfattet?
NIS2-lovens bilag 1 (sektorer af særlig kritisk betydning) nævner under digital infrastruktur bl.a. udbydere af cloudcomputingtjenester, udbydere af datacentertjenester og udbydere af indholdsleveringsnetværk. Under forvaltning af ikt-tjenester (business-to-business) nævnes udbydere af administrerede tjenester og administrerede sikkerhedstjenester.
Om en udbyder er omfattet, afhænger som hovedregel af størrelsen:
| Kategori | Størrelse (bilag 1-enheder) |
|---|---|
| Væsentlig enhed (§ 4) | Mindst 250 ansatte, eller årlig omsætning over 50 mio. euro og samlet balance over 43 mio. euro |
| Vigtig enhed (§ 5) | Mindst 50 ansatte, eller årlig omsætning og balance over 10 mio. euro |
Visse enheder er omfattet uanset størrelse (§ 4, stk. 3), fx kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere. Cloud- og datacenterudbydere hører under dansk jurisdiktion, hvis de har deres hovedforretningssted i Danmark (§ 2, stk. 2), og de skal registrere sig hos den kompetente myndighed (§ 9).
For kunden betyder det: En stor udbyder er normalt selv underlagt NIS2-krav, mens en lille dansk hostingudbyder eller driftspartner kan falde uden for. Det er ikke i sig selv et kvalitetsmærke eller et problem – men det ændrer, hvad I selv skal kontrollere.
NIS2: krav til jeres leverandørkæde
Er jeres egen virksomhed omfattet af NIS2-loven, skal den træffe foranstaltninger til styring af cybersikkerhedsrisici, herunder sikkerhed i forsyningskæden i forholdet til direkte leverandører (§ 6, stk. 1). Ledelsen skal godkende og føre tilsyn med foranstaltningerne (§ 7). Det giver krav til hosting og cloud:
- Sikkerhedskrav i kontrakten: adgangsstyring, logning, opdatering, backup.
- Krav om hurtig underretning ved hændelser hos udbyderen, så I selv kan overholde underretningsfristerne.
- Dokumentation: revisionserklæringer, certificeringer, beskrivelse af sikkerhedsforanstaltninger.
- Ret til at få oplysninger og evt. til at auditere.
Disse krav kan gøre den billigste løsning uegnet – eller kræve tilkøb. Illustrativt kan gennemgang af en leverandørs dokumentation tage 6–12 timer, og en udvidet supportaftale med hændelsesrapportering koste et fast månedligt tillæg.
Er I i tvivl om, hvorvidt jeres virksomhed er omfattet, så se Styrelsen for Samfundssikkerheds information om NIS2 på samsik.dk.
Bogføringsloven: opbevaring og digitale systemer
Bogføringsloven kræver bl.a.:
- Opbevaring i 5 år fra udgangen af det regnskabsår, materialet vedrører (§ 12).
- At materialet sikres mod ødelæggelse, forvanskning, fejl og misbrug (§ 13).
- At digitale bogføringssystemer opfylder anerkendte standarder for it-sikkerhed, herunder bruger- og adgangsstyring, og sikrer automatisk sikkerhedskopiering (§ 15, stk. 1, nr. 2).
Kravet om digital bogføring (§ 16) gælder virksomheder med pligt til at aflægge årsrapport og virksomheder med en nettoomsætning over 300.000 kr. i 2 på hinanden følgende indkomstår. For årsrapportpligtige virksomheder gælder kravene for regnskabsår, der begynder 1. juli 2024 eller senere (registreret system) eller 1. januar 2025 eller senere (ikke-registreret system). For personligt ejede virksomheder over omsætningsgrænsen gælder de fra 1. januar 2026.
Ikke-registrerede systemer: backup i EU/EØS
Bruger virksomheden et system, der ikke står på Erhvervsstyrelsens fortegnelse over registrerede bogføringssystemer – fx et specialudviklet system eller et ERP-system på egne eller lejede servere – gælder bekendtgørelse nr. 205 af 29. februar 2024 (senest ændret ved bekendtgørelse nr. 303 af 20. marts 2025, i kraft 1. januar 2026):
| Krav | Bestemmelse |
|---|---|
| Fuld sikkerhedskopi mindst ugentligt (medmindre intet er bogført siden sidst) | § 4, stk. 1 |
| Opbevaring hos en ikke-nærtstående part, der må formodes at opfylde anerkendte standarder for it-sikkerhed | § 4, stk. 2 |
| På en server i et EU- eller EØS-land | § 4, stk. 2 |
| Undtagelse fra 1. januar 2026 kun for virksomheder omfattet af lov om finansiel virksomhed, lov om forsikringsvirksomhed eller ATP-loven og visse af deres datterselskaber med koncernens bogføringssystem | § 4, stk. 3 (affattet ved bekendtgørelse nr. 303/2025) |
Erhvervsstyrelsen nævner selv en cloududbyder i et EU/EØS-land som eksempel på en tredjepart. Kopien må være komprimeret og krypteret, men virksomheden skal kunne udlevere data i læsbart format til myndighederne.
Hvad koster det? Illustrativt: 200 GB bogføringsdata og bilag, ugentlig fuld kopi med 5 års historik i komprimeret, deduplikeret form på ca. 400 GB, i en objektlagring til konstrueret 0,15 kr. pr. GB = 60 kr. om måneden. Beløbet er lille; det dyre er at glemme kravet eller placere kopien hos en nærtstående part eller uden for EU/EØS.
Systemskift og opbevaringspligten
Opbevaringspligten fortsætter, når I skifter system eller hostingudbyder. Sørg for, at gamle data kan læses i resten af 5-årsperioden – enten ved at flytte dem eller ved at bevare adgang til den gamle løsning. Se migrering og exit-omkostninger og lagring, backup og snapshots.
Ofte stillede spørgsmål
Er vores webhoteludbyder omfattet af NIS2?
Det afhænger af, om udbyderen leverer en omfattet tjenestetype og opfylder størrelseskravene, og hvor den har hovedforretningssted. Spørg udbyderen.
Gælder backupkravet, hvis vi bruger et registreret bogføringssystem i skyen?
Kravene i bekendtgørelse nr. 205/2024 gælder ikke-registrerede systemer. For registrerede systemer er det udbyderen, der skal sikre, at systemet opfylder kravene. Tjek Erhvervsstyrelsens fortegnelse.
Må bogføringsdata ligge uden for EU?
Kravet om sikkerhedskopi i EU/EØS gælder ikke-registrerede systemer. Persondata i bogføringen er desuden omfattet af GDPR's regler om overførsler. Se dataplacering i Danmark og EU.
Kilder og videre læsning
- Retsinformation – NIS2-loven (lov nr. 434 af 6. maj 2025), bogføringsloven (lov nr. 700 af 24. maj 2022), bekendtgørelse nr. 205 af 29. februar 2024
- Styrelsen for Samfundssikkerhed – NIS2 og registrering
- Erhvervsstyrelsen – vejledning om ikke-registrerede digitale bogføringssystemer og fortegnelse over registrerede systemer
- Sikker Digital – råd om it-sikkerhed for virksomheder
