NIS2‑direktivets artikel 21 læst af en leverandør

Kunder, der henviser til “artikel 21”, bruger direktivets nummer, selv om det er den danske lov, der binder dem. Som leverandør er det nyttigt at kunne læse bestemmelsen selv, fordi den forklarer, hvor kundens krav kommer fra. Svaret hviler på direktivets tekst og på NIS 2-lovens § 6, som gennemfører den i Danmark.

Kort sagt pålægger artikel 21 medlemsstaterne at sikre, at væsentlige og vigtige enheder træffer passende og forholdsmæssige sikkerhedsforanstaltninger. Bestemmelsen nævner leverandørerne direkte i stk. 2, litra d, og stk. 3, og den nævner vurdering af foranstaltningernes effektivitet i litra f. Det er de tre steder, hvor en leverandørs test især kan få betydning.

Direktivet binder kunden gennem en national lov

Et direktiv gælder ikke direkte for virksomheder. Det pålægger landene at indføre regler, og i Danmark sker det i NIS 2-loven, lov nr. 434 af 6. maj 2025, som i en fodnote oplyser, at den gennemfører direktiv 2022/2555. Når en dansk kunde citerer artikel 21, er det derfor reelt § 6 i den danske lov, kunden er underlagt. Har kunden aktiviteter i andre EU-lande, kan kravet bygge på et andet lands gennemførelse. → Hvilken tekst gælder for kunden?

Undtagelsen er de digitale udbydere, som gennemførelsesforordning 2024/2690 gælder for. Forordningen er vedtaget med hjemmel i artikel 21 og gælder direkte uden en dansk lov imellem. → Forordning 2024/2690

Stk. 1: passende og forholdsmæssige foranstaltninger

Første stykke fastlægger grundtanken. De omfattede enheder skal træffe tekniske, operationelle og organisatoriske foranstaltninger, som er passende og forholdsmæssige, for at styre risikoen for deres net- og informationssystemer og begrænse følgerne af hændelser for dem, der modtager deres tjenester.

For en leverandør er ordet forholdsmæssig det vigtigste. Det betyder, at kunden ikke skal gøre det samme overalt, men vurdere, hvor risikoen ligger. Det er også derfor, kundens krav til jer kan variere fra leverance til leverance. → Forholdsmæssige krav

Stk. 2: ti emner, der som minimum skal være dækket

Andet stykke siger, at foranstaltningerne skal bygge på en tilgang, der omfatter alle farer, altså også fejl, uheld og fysiske forhold og ikke kun angreb. Derefter lister det ti emner fra litra a til j, som foranstaltningerne mindst skal omfatte. Den danske lov har samme liste i § 6, stk. 1, nr. 1 til 10, i samme rækkefølge. Set fra en leverandør falder de i tre grupper:

Litra d og e: jeres leverance er selve emnet · forsyningskædesikkerhed og sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer, herunder håndtering af sårbarheder.
Litra f: her bliver testen efterspurgt · politikker og procedurer til at vurdere, om foranstaltningerne er effektive.
De øvrige litraer: I bliver spurgt, men testen er ikke nødvendigvis svaret · risikoanalyse og politikker (a), hændelseshåndtering (b), driftskontinuitet og backup (c), cyberhygiejne og uddannelse (g), kryptografi (h), personalesikkerhed, adgangskontrol og aktiver (i) samt multifaktorautentificering og sikret kommunikation (j).

Grupperingen er en læsehjælp, ikke en del af lovteksten. En test kan godt belyse fx adgangskontrol eller multifaktorlogin, men kundens spørgsmål om de emner kan handle mere om politikker og praksis. Gennemgangen af de ti punkter i den danske lovs ordlyd findes her: → NIS 2-lovens § 6

Litra d og f: forsyningskæden og effektiviteten

Litra d handler om de sikkerhedsmæssige forhold mellem kunden og dens direkte leverandører og tjenesteudbydere. Det er den bestemmelse, der gør jer til en del af kundens risikostyring. Den siger ikke, at leverandører skal testes. Den siger, at kunden skal håndtere risikoen ved sine leverandører, og kunden kan vælge test som en af måderne at få indsigt på. → Forsyningskædesikkerhed

Litra f kræver politikker og procedurer til at vurdere, om foranstaltningerne virker. Ordet penetrationstest står ikke i direktivteksten. Det er i de danske lovbemærkninger, at tekniske test som sårbarhedsscanninger og penetrationstests nævnes som eksempler. Når kunden beder jer om en test, kan kunden bruge den som bevis for, at kundens egen foranstaltning over for leverandører er afprøvet. → Effektivitet af foranstaltninger

Den danske lov har desuden i § 6, stk. 2, en regel om, at en enhed, der ikke lever op til kravene, uden unødigt ophold skal træffe de nødvendige korrigerende foranstaltninger. For jer kan det vise sig som et ønske om, at fund fra en test bliver rettet inden for en aftalt tid, og at kunden får besked, når det er sket. Fristen står ikke i loven, men i jeres aftale med kunden.

Stk. 3: leverandørens egne forhold

Tredje stykke præciserer litra d. Kunden skal, når den vurderer forsyningskæden, tage hensyn til sårbarheder, der er særlige for hver direkte leverandør, og til den generelle kvalitet af produkter og cybersikkerhedspraksis, herunder procedurer for sikker udvikling. Det er det sted i direktivet, der kommer tættest på jer som virksomhed. → Artikel 21, stk. 3

Et tænkt eksempel

En leverandør af lagerstyring til en fødevaregrossist får et brev, hvor kunden “med henvisning til NIS2 artikel 21” beder om dokumentation for test. Brevet nævner ikke, hvilket stykke eller litra kravet bygger på. Leverandøren kan med fordel spørge, om kunden tænker på forsyningskæden (litra d), på effektivitetsvurdering (litra f) eller på produktkvalitet (stk. 3). Svaret afgør, om kunden har brug for en testrapport, en beskrivelse af udviklingspraksis eller begge dele. Spørgsmålet koster ikke meget og kan spare en test, der ikke svarer på det, kunden egentlig vil vide.

Det skal I lade være med

At læse artikel 21 som en pligt for jer · den er rettet til medlemsstaterne og gennem lovene til de omfattede enheder.
At citere direktivet over for en dansk kunde uden den danske lov · kundens pligt følger af § 6.
At lede efter et testinterval i bestemmelsen · der er ingen. → Det, NIS2 ikke siger
At svare på alle ti litraer med én testrapport · testen hører hjemme under nogle af dem.
At glemme stk. 3 · spørgsmål om produktkvalitet og udvikling har sin egen begrundelse.

Hvad kan og ikke kan konkluderes

Artikel 21 forklarer, hvorfor kunden stiller krav til leverandører, og hvilke emner kravene kan komme fra. Den fastlægger ikke, hvad en bestemt kunde skal kræve af jer, hvor ofte I skal testes, eller hvilken testtype der er den rigtige. Det afgøres af kundens risikovurdering og jeres aftale. Teksten er ikke juridisk rådgivning, og ordlyden bør læses i den officielle udgave på EUR-Lex.

Tjekliste, når kunden henviser til artikel 21

☐ Ved I, om kunden er omfattet af den danske lov eller af forordning 2024/2690?
☐ Har I spurgt, hvilket stykke eller litra kravet bygger på?
☐ Er testkravet skilt fra krav om politikker og praksis?
☐ Er spørgsmål om udvikling og produktkvalitet besvaret særskilt?
☐ Er svaret formuleret uden løfter om overholdelse af NIS2?

Kilder

NIS2-direktivet (EU) 2022/2555: artikel 21, stk. 1, stk. 2, litra a til j, og stk. 3.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 1 til 10, og fodnoten om gennemførelse af direktivet.
SAMSIK, vejledning om foranstaltninger (juni 2025): lovbemærkningerne til § 6, nr. 6, om tekniske tests.
ENISA, NIS2 Technical Implementation Guidance (juni 2025): baggrundsafsnittet om forordning 2024/2690 vedtaget med hjemmel i artikel 21.

Senest gennemgået: oktober 2026.