Digitaliseringsstyrelsen som tilsyn for MSP, hosting og cloud

Er I driftsleverandør, hostingvirksomhed eller cloududbyder, kan det være Digitaliseringsstyrelsen og ikke jeres kunders myndighed, I skal kunne vise jeres testresultater til. Det følger af bekendtgørelse nr. 620 af 2. juni 2025 om udpegning af kompetente myndigheder, § 6. Bestemmelsen samler en række digitale udbydere under én myndighed, uanset hvilke sektorer deres kunder hører til.

For jer betyder det, at der kan være to adressater for den samme testdokumentation: kunder, der skal vise deres egen myndighed, hvordan de styrer leverandører, og jeres egen myndighed, hvis I selv er omfattet. Teksten er ikke juridisk rådgivning.

Hvem Digitaliseringsstyrelsen er myndighed for

Bekendtgørelsens § 6 udpeger Digitaliseringsstyrelsen som kompetent myndighed for fire grupper:

Digital infrastruktur · DNS-tjenesteudbydere bortset fra operatører af rodnavneservere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, datacentertjenester og indholdsleveringsnetværk samt tillidstjenesteudbydere, jf. lovens bilag 1, punkt 8.
Administrerede tjenester · udbydere af administrerede tjenester og administrerede sikkerhedstjenester, jf. bilag 1, punkt 9.
Digitale platforme · udbydere af onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester, jf. bilag 2, punkt 6.
Domænenavne · topdomænenavneadministratorer og enheder, der leverer domænenavnsregistreringstjenester, efter lovens § 11.

Hosting er ikke et selvstændigt begreb i loven. En hostingvirksomhed skal derfor se på, om dens ydelser er cloud, datacenter eller administrerede tjenester efter lovens definitioner. → MSP og NIS2

Grænserne mod andre myndigheder

Ikke alle digitale virksomheder hører under Digitaliseringsstyrelsen. Udbydere af internetudvekslingspunkter står i bilag 1, punkt 8, men har efter bekendtgørelsens § 12, nr. 2, Styrelsen for Samfundssikkerhed som myndighed. Udbydere af offentlige elektroniske kommunikationsnet og -tjenester står også i bilag 1, punkt 8, men NIS 2-loven gælder efter § 1, stk. 2, ikke for enheder, i det omfang de er omfattet af lov om sikkerhed og beredskab i telesektoren. SAMSIK oplyser, at tilsynet med telesektoren efter den lov håndteres af SAMSIK. → Leverandør til teleselskaber

Registrering efter lovens §§ 9 og 10 og underretning om hændelser sker ifølge bekendtgørelsens § 14 digitalt gennem en selvbetjeningsløsning via Virk.dk. SAMSIK oplyser, at indberetninger håndteres af Forsvarets Efterretningstjeneste som national CSIRT. Det er altså ikke Digitaliseringsstyrelsen, der modtager hændelsesunderretninger i første omgang. → Registrering som digital udbyder

Hvilke regler myndigheden fører tilsyn med

Digitaliseringsstyrelsen skriver på sin side om kravene, at de digitale udbydere er omfattet af gennemførelsesforordning (EU) 2024/2690, og at de skal følge forordningen i stedet for lovens generelle krav til foranstaltninger og hændelsesrapportering. Styrelsen skriver også, at hele enheden, altså CVR-nummeret, er omfattet, også hvis tjenesten kun er en mindre del af forretningen. Det har betydning for testen. Et softwarehus, der ved siden af sine produkter også drifter nogle kunders servere, kan ikke nøjes med at se på driftsydelsen, hvis hele virksomheden er omfattet. Risikovurderingen og dermed testens omfang skal så tage udgangspunkt i hele enhedens net- og informationssystemer, ikke kun i den ydelse, der gjorde den omfattet.

Styrelsen henviser til ENISA’s tekniske vejledning til forordningen, som ikke er bindende, og har udgivet et eget vejledningsskema med de konkrete foranstaltninger og henvisninger til standarder. Styrelsen beskriver skemaet som tænkt til virksomhedernes interne arbejde med at gennemføre foranstaltningerne. Skemaet kan bruges til at se, hvor jeres test passer ind blandt de øvrige foranstaltninger, og hvilke punkter testen ikke dækker. → Forordningen og MSP’en

Tilsynets redskaber

NIS 2-loven skelner mellem væsentlige og vigtige enheder. Efter § 21 fører de kompetente myndigheder tilsyn med væsentlige enheder og kan blandt andet foretage kontrol på stedet, sikkerhedsaudits og sikkerhedsscanninger og kræve oplysninger og dokumentation udleveret. Efter § 24 fører myndighederne reaktivt tilsyn med vigtige enheder, det vil sige efter indikationer på, at reglerne ikke overholdes. → Væsentlige og vigtige enheder

For testen betyder det, at dokumentationen skal kunne tåle at blive læst af en myndighed og ikke kun af en kunde. Efter § 21, stk. 2, skal myndigheden angive formålet, når den kræver oplysninger udleveret, og præcisere, hvilke oplysninger der kræves, og i hvilken form. Det er derfor en fordel, at testdokumentationen allerede er ordnet efter forordningens punkter. → Kunden skal kunne vise tilsynet jeres testresultat

Når kunden har en anden myndighed

En driftsleverandør til et hospital og en kommune kan have Digitaliseringsstyrelsen som sin egen myndighed, mens hospitalet hører under Sundhedsdatastyrelsen og kommunen under Styrelsen for Samfundssikkerhed. Det er ikke jeres opgave at svare de andre myndigheder, men jeres kunder kan have brug for jeres dokumentation, når de svarer deres. Hold derfor jeres egen dokumentation og kundeudtrækkene i takt, så tal, datoer og omfang er de samme, uanset hvem der læser. To myndigheder kan stille forskelligt formulerede spørgsmål til det samme forhold. → Hvem fører tilsyn med jeres kunde?

Et tænkt eksempel

En hostingvirksomhed driver servere i eget datacenter og tilbyder desuden drift af kundernes systemer. Blandt kunderne er en vandforsyning og en producent af medicinsk udstyr. Virksomheden vurderer med sin rådgiver, at den er omfattet som udbyder af datacentertjenester og af administrerede tjenester, og at Digitaliseringsstyrelsen derfor er dens myndighed. Vandforsyningen hører under Miljøstyrelsen og producenten under Sundhedsdatastyrelsen.

Virksomheden lægger sin årlige test, så den dækker både datacentrets fælles systemer og værktøjerne til drift af kunderne. Dokumentationen ordnes efter forordningens punkt 6.5, så den kan vises Digitaliseringsstyrelsen, hvis styrelsen beder om den. Til hver kunde laves et udtræk om de dele, kunden bruger. Når vandforsyningen senere får spørgsmål fra sin egen myndighed om leverandørstyring, kan den bruge udtrækket uden at virksomheden skal skrive noget nyt.

Det skal I lade være med

At gå ud fra, at kundens myndighed også er jeres · digitale udbydere har deres egen.
At kalde jer hosting og stoppe der · det er lovens definitioner, der afgør placeringen.
At blande registrering og hændelser sammen med tilsynet · de går via Virk.dk.
At behandle vejledningsskemaet som en godkendelse · det er et redskab til jeres eget arbejde.
At skrive testdokumentation kun til kunden · den kan også blive læst af jeres myndighed.

Hvad kan og ikke kan konkluderes

Bekendtgørelsen viser, hvilken myndighed der er udpeget for hvilke digitale udbydere, og loven viser, hvilke redskaber en myndighed har. De afgør ikke, om netop jeres virksomhed er omfattet, og de siger ikke, hvordan Digitaliseringsstyrelsen prioriterer sit tilsyn. En velordnet testdokumentation gør det lettere at svare, hvis myndigheden spørger, men den er ikke en godkendelse fra myndigheden. → Tilsynets audits og sikkerhedsscanninger hos kunden

Tjekliste for digitale udbydere

☐ Har I afklaret, hvilken af bekendtgørelsens grupper jeres ydelser hører til?
☐ Ved I, om I er væsentlig eller vigtig enhed?
☐ Er registreringen via Virk.dk på plads, hvis I er omfattet?
☐ Kender I Digitaliseringsstyrelsens vejledningsskema?
☐ Er testdokumentationen ordnet, så en myndighed kan læse den?
☐ Ved I, hvilke myndigheder jeres kunder hører under?

Kilder

Bekendtgørelse nr. 620 af 2. juni 2025: § 6, § 12, nr. 2, og § 14.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2, §§ 9 og 10, § 21, § 24 og bilag 1 og 2.
Digitaliseringsstyrelsen, hvad er kravene: forordningen gælder for digitale udbydere, og hele enheden er omfattet.
Digitaliseringsstyrelsen, vejledningsmateriale: vejledningsskema om cybersikkerhedsforanstaltninger.
SAMSIK, NIS2: FE som national CSIRT og SAMSIK’s tilsyn med telesektoren.

Senest gennemgået: oktober 2026.