Bilag 1 og 2: kundens sektor afgør, hvilke regler kravet bygger på

To kunder kan sende jer næsten ens krav om sikkerhedstest og alligevel bygge dem på forskellige regler. Forskellen kan ligge i, hvilken sektor kunden hører til. Svaret hviler på NIS 2-lovens bilag 1 og 2, som opregner de omfattede sektorer, og på bekendtgørelse nr. 620 af 2. juni 2025, som placerer hver sektor hos en bestemt myndighed. Kender I kundens sektor, ved I, hvilken myndighed og hvilke vejledninger kravet sandsynligvis er skrevet ud fra.

Bilagene afgør ikke, om I selv er omfattet. De fortæller, hvor kunden står, og det er nok til at læse kravet rigtigt. Teksten er ikke juridisk rådgivning.

Hvad de to bilag indeholder

Bilag 1 har overskriften sektorer af særlig kritisk betydning. Det omfatter energi, transport, bankvirksomhed, finansielle markedsinfrastrukturer, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af IKT-tjenester mellem virksomheder, offentlig forvaltning og rummet.

Bilag 2 hedder andre kritiske sektorer. Her står post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling af blandt andet medicinsk udstyr, elektronik, maskiner og køretøjer, digitale udbydere og forskning.

Lovens bilag svarer til direktivets bilag I og II. Hvert bilag deler sektorerne op i delsektorer og typer af enheder, og det er typen, der afgør, om en bestemt virksomhed hører til. En leverandør behøver ikke at læse hele teksten. Det vigtige er at kunne placere den kunde, der har stillet kravet.

Niveauet af detaljer er værd at bemærke. Under transport skelnes der fx mellem luft, jernbane, vand og vej, og under sundhed nævnes bl.a. sundhedstjenesteydere og enheder, der fremstiller farmaceutiske præparater. En virksomhed kan derfor godt høre til en sektor uden at være omfattet, fordi den konkrete aktivitet ikke svarer til den type enhed, bilaget beskriver. Kunden har selv foretaget den vurdering, fordi væsentlige og vigtige enheder efter lovens § 10 skal registrere sig hos myndigheden. Det er den vurdering, I skal spørge til, ikke jeres egen læsning af bilaget. → Sektorernes forskelle

Hvorfor bilaget betyder noget for jer

Bilaget har tre virkninger, som rækker ned i kundens krav til jer.

Myndigheden · bekendtgørelse nr. 620 fordeler sektorerne mellem myndighederne. Sundhed går til Sundhedsdatastyrelsen, transport og post til Trafikstyrelsen, cloud, datacentre og administrerede tjenester til Digitaliseringsstyrelsen, kommuner og centralforvaltningen til Styrelsen for Samfundssikkerhed.
Vejledningen · hver myndighed kan udgive egne vejledninger og spørgerammer, som kunden skriver kravet ud fra.
Status som væsentlig eller vigtig · lovens § 4 knytter den størrelsesbaserede status som væsentlig enhed til typer i bilag 1, mens § 5 omfatter typer i begge bilag. Det påvirker tilsynets form hos kunden.

→ Hvem fører tilsyn med jeres kunde?

Samme leverandør, forskellige kilder

Forestil jer en leverandør af et system til vagtplanlægning. Systemet bruges af en region og af en fødevareproducent. Regionen hører til bilag 1 og har Sundhedsdatastyrelsen som myndighed. Fødevareproducenten står i bilag 2. Begge kunder kan bede om dokumentation for en sikkerhedstest, men de vil måske henvise til forskellige vejledninger, bruge forskellige ord og have forskellige forventninger til, hvornår dokumentationen skal ligge klar.

For leverandøren er pointen enkel: spørg ikke kun “hvad kræver I”, men også “hvilken sektor og hvilken myndighed bygger kravet på”. Så kan I finde den vejledning, kunden læser, og svare i samme sprog.

Det gør også jeres egen dokumentation lettere at genbruge. En testrapport kan bruges over for begge kunder, men følgebrevet bør pege på de punkter, den enkelte kundes vejledning lægger vægt på. Regionen kan fx spørge til adgangen til patientnære systemer, mens fødevareproducenten er mere optaget af, om produktionen kan blive forstyrret. Testen er den samme, men forklaringen er ikke. → Flere NIS2-kunder med forskellige krav

Når kunden står i bilaget, men alligevel uden for loven

Nogle sektorer står i bilag 1, men er alligevel helt eller delvist undtaget efter lovens § 1, stk. 2. Det gælder enheder omfattet af loven om styrket beredskab i energisektoren og af telesektorens lov, og enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. For en leverandør til en bank eller et elselskab kan kravet derfor bygge på helt andre regler end NIS 2-loven. → Energi, tele og finans

Omvendt kan en kunde, der ikke står i bilagene, stadig bede om test. Så er grundlaget kundens egen risikovurdering og aftalen, ikke NIS2.

Når I selv står i bilaget

Leverer I administrerede IT-tjenester eller cloud, kan I finde jeres egen type i bilag 1, punkt 8 eller 9. Så er spørgsmålet ikke længere kun, hvad kunden kræver, men hvad loven og forordning 2024/2690 kræver af jer. Det er en særskilt vurdering, og den bør laves, før I svarer kunden. Hvis I selv er omfattet, har I jeres egen myndighed, som for disse typer kan være Digitaliseringsstyrelsen, og jeres egne pligter til test og dokumentation. Kundens krav bliver så et ekstra lag oven på det, I alligevel skal kunne vise. → Er vi selv omfattet af NIS2?

Sådan bruger I bilaget i dialogen

Spørg kunden om sektor og myndighed · en omfattet kunde kan svare på det, fordi den har registreret sig.
Find myndighedens vejledning · læs afsnittet om leverandører og om tekniske test.
Sammenlign med kravbilaget · se, om kravet følger vejledningen eller går videre.
Gem oplysningen · notér sektor og myndighed i jeres kundeoverblik, så næste krav går hurtigere.

Det skal I lade være med

At gætte kundens sektor · bed om den, især når kunden har aktiviteter i flere sektorer.
At bruge én myndigheds vejledning til alle kunder · ordlyd og fokus kan variere.
At læse bilaget som en liste over jeres pligter · bilaget handler om kunden, medmindre I selv står der.
At overse undtagelserne i § 1, stk. 2 · energi, tele og finans kan have egne regler.
At afvise kravet, fordi kunden ikke står i bilaget · aftalen kan stadig kræve test.

Hvad kan og ikke kan konkluderes

Kundens placering i bilag 1 eller 2 siger noget om, hvilken myndighed og hvilke vejledninger kravet sandsynligvis bygger på, og om kunden kan være væsentlig eller vigtig enhed. Den siger ikke, hvad kunden konkret kræver af jer. Det svar finder I i kundens risikovurdering og i det, I har skrevet under på. Bilaget siger heller ikke, at en bestemt test er nødvendig.