Skal ikke-EU cloud- eller SaaS-udbydere have både GDPR og NIS2 repræsentanter?

• GDPR artikel 27 og NIS2 artikel 26 gælder ofte begge for ikke-EU cloud/SaaS-udbydere
• Ingen størrelsesgrænse for GDPR; NIS2 gælder for cloud/CDN/DNS uanset størrelse
• REP27, EU Presence, DataShield Guardian og Regingada tilbyder begge tjenester
• Offentliggjorte priser varierer meget; tjek altid hvad der er inkluderet
• Bøder for manglende overholdelse kan nå op på €10 millioner eller 2% af omsætning (GDPR)
• Udpegelsesproces, undtagelser og skjulte gebyrer varierer mellem udbydere

Opdateret 3 November 2026 · 8 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 3 November 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad loven kræver: GDPR artikel 27 og NIS2 artikel 26

Ikke-EU cloud- og SaaS-udbydere, der betjener EU, står over for to forskellige juridiske forpligtelser:

• GDPR artikel 27 repræsentant: Enhver ikke-EU dataansvarlig eller databehandler, der tilbyder varer/tjenester til eller overvåger EU-individer, skal udpege en EU-repræsentant. Dette gælder for SaaS og cloud-udbydere, selv hvis deres tjenester er B2B, så længe de behandlede data vedrører EU-individer. Der er ingen minimumsstørrelsesgrænse – enhver ikke-EU enhed, der behandler EU-data, skal overholde. (GDPR art. 27)
• NIS2 artikel 26 repræsentant: Ikke-EU udbydere af cloud, DNS, CDN, managed services, markedspladser og sociale platforme skal udpege en repræsentant i et EU-medlemsland, hvor de tilbyder tjenester. I modsætning til nogle andre NIS2-forpligtelser gælder dette uanset virksomhedens størrelse eller omsætning for disse specifikke digitale tjenester. (NIS2 art. 26)

Disse krav er kumulative. At udpege en GDPR-repræsentant fritager ikke for NIS2, og omvendt. Begge roller fungerer som kontaktpunkter for EU-myndigheder og berørte personer, men dækker forskellige juridiske rammer og rapporteringspligter. NIS2 inkluderer for eksempel obligatorisk hændelsesrapportering og registrering hos nationale myndigheder inden januar 2025, mens GDPR fokuserer på databeskyttelse og registreredes rettigheder.

Manglende udpegning af de krævede repræsentanter kan medføre alvorlige sanktioner. Manglende overholdelse af GDPR kan føre til bøder på op til €10 millioner eller 2% af den globale omsætning. NIS2 giver medlemsstater mulighed for at iværksætte direkte håndhævelsesforanstaltninger mod ikke-EU udbydere, selvom en repræsentant er udpeget. Det betyder, at overholdelse ikke kun handler om at udpege en repræsentant, men også om at sikre løbende samarbejde og respons til EU-myndigheder.

Sammenfattende skal ikke-EU SaaS- og cloud-udbydere nøje vurdere, om deres aktiviteter udløser den ene eller begge forpligtelser, og vælge en udbyder, der kan dække begge roller, hvis nødvendigt.

Sådan vælger du: Beslutningsmatrix for ikke-EU udbydere

Valget af den rette repræsentant(er) afhænger af din forretningsmodel, karakteren af dine tjenester og din kundebase. Følgende matrix hjælper med at afklare, hvad du har brug for baseret på din situation:

Praktiske råd:

• Gennemgå dine dataflows: Hvis du behandler persondata om EU-borgere, gælder GDPR.
• Vurder dine digitale tjenester: Hvis du tilbyder cloud, CDN, DNS eller managed services til EU, gælder NIS2 uanset om du behandler persondata.
• Markedspladser: Hvis du kun sælger fysiske produkter via platforme som Amazon eller eBay og ikke behandler EU-persondata eller tilbyder digitale tjenester, skal du have en produktansvarlig, ikke en GDPR- eller NIS2 repræsentant.
• EU-etablering: Hvis din virksomhed allerede er etableret i EU, gælder disse forpligtelser ikke, medmindre du handler for en ikke-EU modervirksomhed.

At vælge en udbyder, der dækker begge roller (GDPR og NIS2), kan forenkle overholdelse, reducere administrativ byrde og sikre ensartet kommunikation med myndigheder. Bekræft altid udbyderens evne til at håndtere begge forpligtelser og tjek offentliggjorte priser og inkluderede tjenester.

Hvad prisen virkelig inkluderer (og ikke inkluderer)

Offentliggjorte priser for GDPR- og NIS2-repræsentation varierer betydeligt. Det er vigtigt at forstå, hvad hver udbyder inkluderer i deres basisgebyr, og hvad der kan medføre ekstra omkostninger. Her er en sammenlignende oversigt:

Nøgleoplysninger fra udbyderne:

• REP27: Tilbyder GDPR og NIS2 repræsentation, certifikat, offentlig verifikation og én kontrakt for flere roller. Offentliggjort pris for GDPR starter ved €290/år; NIS2-pris på forespørgsel. Alle udpegninger underskrives af Europe Services SE (EU) og leveres med verificerbart certifikat. (kilde)
• EU Presence: Opkræver $127/måned for GDPR og $327/måned for NIS2 (begge pris_verificeret_på_kildeside). Inkluderer workflow for hændelsesrapportering og dækning for alle 27 EU-lande. (kilde)
• DataShield Guardian: Full Presence plan fra $12.000/år, dækker GDPR, NIS2, AI Act, managed DPO og compliance support. (kilde)
• Regingada: GDPR fra €490/år; NIS2 på forespørgsel. Tilbyder dokumenteret videresendelse, deadline-logning og er baseret i Tyskland. (kilde)

Bed altid om et detaljeret tilbud og kontrakt. Mange udbydere offentliggør ikke alle ekstra gebyrer, såsom gebyrer pr. hændelse, myndighedsrespons eller fornyelsesomkostninger. Spørg specifikt til disse punkter før underskrift.

Skjulte omkostninger og hvad udbydere normalt ikke siger

Selvom udbydere reklamerer med årlige eller månedlige gebyrer for repræsentation, udelades flere vigtige detaljer ofte i offentligt materiale. Købere bør være opmærksomme på potentielle skjulte omkostninger og undtagelser:

• Opsigelsesvarsler: Ingen af ovenstående udbydere angiver minimumskontraktlængder eller opsigelsesvarsler. Tjek altid kontrakten for disse detaljer.
• Gebyrer pr. anmodning/hændelse: Ingen udbyder offentliggør gebyrer pr. hændelse eller myndighedsanmodning. For NIS2 kan hændelsesrapportering og myndighedskommunikation medføre ekstra omkostninger. Bed om en fuld gebyroversigt.
• Ansvarsbegrænsninger: Offentlig information om ansvarsbegrænsninger eller undtagelser findes ikke. Det er almindeligt, at udbydere begrænser deres ansvar for bøder eller skader i kontrakten – bed om denne sektion før underskrift.
• Serviceundtagelser: Nogle udbydere inkluderer ikke alle myndighedskommunikationer, hændelseshåndtering eller certifikatfornyelser i basisprisen. For eksempel tilbyder Regingada NIS2 repræsentation kun på forespørgsel, og detaljer om inkluderet hændelsesrapportering offentliggøres ikke. DataShield Guardian inkluderer DPO og compliance support, men omfanget kan være begrænset til visse timer eller hændelsestyper.
• Verifikation og dokumentation: REP27 leverer et offentligt certifikat og verifikationskode, hvilket kan være nyttigt til at dokumentere overholdelse over for myndigheder og markedspladser. Ikke alle udbydere tilbyder denne funktion.

Hvad udbydere normalt ikke siger:

• Om de svarer på alle myndighedsanmodninger eller opkræver ekstra for komplekse sager
• Om prisen inkluderer løbende rådgivning om compliance eller kun den juridiske udpegning
• Hvor hurtigt de behandler hændelsesrapporter eller myndighedskorrespondance
• Om kontrakten automatisk fornyes og under hvilke betingelser

For at undgå overraskelser, bed altid om den fulde kontrakt, få en detaljeret oversigt over inkluderede og ekskluderede tjenester, og afklar processen for hastesager eller myndighedsundersøgelser.

Sådan fungerer udpegningen: Trin for trin

Udpegning af en GDPR- og/eller NIS2 repræsentant involverer flere konkrete trin. Processen er designet til at sikre, at repræsentanten er korrekt bemyndiget, og at din virksomhed er forberedt på at reagere over for EU-myndigheder og overholde lovkrav. Sådan fungerer det typisk, med REP27 som eksempel:

1. Vurder dine forpligtelser: Brug beslutningsmatrixen ovenfor til at afgøre, om du har brug for en GDPR og/eller NIS2 repræsentant. Gennemgå din databehandling og digitale tjenester til EU.
2. Vælg en udbyder: Sammenlign udbydere baseret på offentliggjorte priser, inkluderede tjenester og omdømme. Bekræft, at udbyderen kan dække både GDPR og NIS2, hvis nødvendigt.
3. Indsend virksomhedsoplysninger: Du skal oplyse virksomhedens juridiske detaljer, en beskrivelse af dine tjenester og information om dine EU-kunder eller brugere. REP27 kræver for eksempel en fil med disse oplysninger til manuel gennemgang.
4. Udbyderens gennemgang: Udbyderen gennemgår dine oplysninger for at sikre, at alt er komplet og korrekt. For REP27 sker dette normalt inden for 24 arbejdsdage.
5. Udpegning og underskrift: Udbyderens ledelse underskriver udpegelsesbrevet, der formelt udpeger dem som din repræsentant. REP27 udsteder et underskrevet certifikat, QR-kode og verifikationskode.
6. Modtag dokumentation: Du modtager den underskrevne udpegning, certifikat og skabelon til din privatlivspolitik eller hjemmeside. Denne dokumentation er vigtig for at dokumentere overholdelse over for myndigheder, kunder og markedspladser.
7. Opdater juridiske oplysninger: Opdater din privatlivspolitik, hjemmeside og (for NIS2) registrer repræsentantens kontaktoplysninger hos den relevante nationale myndighed. NIS2 kræver registrering inden januar 2025.
8. Løbende samarbejde: Oprethold kommunikation med din repræsentant til hændelsesrapportering, myndighedsanmodninger og compliance-opdateringer. Sørg for at forstå processen for hastesager og udbyderens svartider.

Tjekliste for købere:

1. Bekræft om du behandler EU-persondata eller leverer cloud/digitale tjenester til EU.
2. Tjek om både GDPR og NIS2 gælder for dine aktiviteter.
3. Indsaml alle nødvendige virksomheds- og tjenestebeskrivelser.
4. Kontakt udbydere for fuldt tilbud og kontrakt, spørg til ekstra gebyrer.
5. Gennemgå kontraktvilkår, herunder opsigelsesvarsler og ansvarsbegrænsninger.
6. Udpeg din repræsentant(er) og modtag dokumentation.
7. Opdater din privatlivspolitik og registrer hos myndigheder efter behov.
8. Opsæt interne processer for hændelsesrapportering og myndighedskommunikation.

At følge disse trin sikrer, at du opfylder EU’s lovkrav og undgår dyre håndhævelsesaktioner.

Risici, bøder og håndhævelse

Manglende overholdelse af GDPR artikel 27 eller NIS2 artikel 26 kan udsætte ikke-EU cloud- og SaaS-udbydere for betydelige juridiske og økonomiske risici. At forstå disse risici er essentielt for velinformerede beslutninger:

• GDPR: Manglende udpegning af en GDPR-repræsentant er i sig selv en overtrædelse, der kan medføre bøder på op til €10 millioner eller 2% af den globale årlige omsætning, alt efter hvad der er højest. Disse bøder kommer oveni eventuelle sanktioner for andre GDPR-overtrædelser. Myndigheder kan også blokere dine tjenester i EU eller kræve sletning af ulovligt behandlede data.
• NIS2: Under NIS2 kan medlemsstater iværksætte direkte håndhævelsesforanstaltninger mod ikke-EU udbydere, der undlader at udpege en repræsentant. Dette kan inkludere undersøgelser, blokering af tjenester og administrative sanktioner. Repræsentanten beskytter ikke udbyderen mod håndhævelse; den fungerer blot som lokalt kontaktpunkt for myndigheder.
• Registreringsfrister: NIS2 kræver, at ikke-EU udbydere registrerer deres repræsentants kontaktoplysninger hos den relevante nationale myndighed senest 17. januar 2025. Manglende registrering kan medføre øjeblikkelige overholdelsesforanstaltninger.
• Hændelsesrapportering: NIS2 forpligter dækkede udbydere til at rapportere væsentlige sikkerhedshændelser. Forsinkelser eller undladelser kan føre til yderligere sanktioner og skade på omdømme.
• Omdømmerisiko: Offentlige håndhævelsesaktioner eller blokerede tjenester kan skade dit brand og undergrave kundetillid, især på det privacy- og sikkerhedsfølsomme EU-marked.

For at mindske disse risici bør du udpege en kvalificeret repræsentant, holde dokumentationen opdateret og etablere klare interne processer for hændelsesrespons og myndighedskommunikation. Gennemgå regelmæssigt din compliance-status og opdater repræsentantens oplysninger i takt med virksomhedens udvikling.

Realistiske scenarier: Hvad gælder og den nemmeste vej

Nedenfor er tre praktiske scenarier, der illustrerer, hvordan reglerne gælder, og den mest ligetil vej til overholdelse for hver:

• Scenario 1: Amerikansk SaaS-virksomhed, der tilbyder B2B og B2C tjenester til EU-kunder
  Forpligtelser: Skal have både GDPR artikel 27 og NIS2 repræsentanter. Virksomheden behandler EU-persondata (GDPR) og leverer cloud-baserede tjenester (NIS2).
  Overholdelsesvej: Udpeg en udbyder (f.eks. REP27), der dækker begge roller. Opdater privatlivspolitik med repræsentantoplysninger, registrer hos relevant NIS2-myndighed, og opsæt interne procedurer for hændelsesrapportering og myndighedskommunikation.
• Scenario 2: Kinesisk Amazon-sælger, der kun eksporterer fysiske varer til EU
  Forpligtelser: Skal have en produktansvarlig person for produktsikkerhed. Har ikke brug for GDPR eller NIS2 repræsentanter, medmindre de også behandler EU-persondata eller tilbyder digitale/cloud-tjenester.
  Overholdelsesvej: Udpeg en produktansvarlig person (ikke dækket her), sørg for korrekt mærkning og dokumentation, og vurder om digitale tjenester eller databehandling udløser yderligere forpligtelser.
• Scenario 3: Britisk onlinebutik, der sælger til EU-forbrugere
  Forpligtelser: Skal have en GDPR repræsentant, hvis de behandler EU-persondata. NIS2 gælder kun, hvis butikken også tilbyder cloud- eller digitale tjenester (ikke for ren e-handel).
  Overholdelsesvej: Udpeg en GDPR repræsentant (f.eks. REP27), opdater privatlivspolitik, og bekræft om digitale tjenester kræver NIS2 repræsentation. Hvis ikke, kræves ingen yderligere handling for NIS2.

Disse scenarier viser, at forpligtelser afhænger af din virksomheds og tjenesters karakter. Foretag altid en detaljeret vurdering og konsulter en udbyder med erfaring i både GDPR og NIS2 repræsentation.