Datacenteret i kæden: hvad det kan dokumentere, og hvad det ikke kan

Når en NIS2-kunde spørger, hvordan jeres leverance er sikret, og serverne står i et eksternt datacenter, er det fristende at svare med datacentrets certifikater. Det dækker kun en del af spørgsmålet. Svaret hviler på en enkel opdeling: datacentret står for bygningen, strømmen, kølingen og den fysiske adgang, mens I står for det, der kører på jeres udstyr. Det sidste kan kun jeres egen test og dokumentation belyse.

For kunden er begge dele relevante. Pointen er at vise, hvem der dokumenterer hvad. Teksten er ikke juridisk rådgivning.

Hvad loven forstår ved et datacenter

NIS 2-lovens § 3, nr. 5, definerer en datacentertjeneste som en tjeneste med strukturer, der er beregnet til central opbevaring, sammenkobling og drift af it- og netværksudstyr, samt faciliteter og infrastruktur til energidistribution og miljøkontrol. Udbydere af datacentertjenester står i lovens bilag 1, punkt 8, under digital infrastruktur, og Digitaliseringsstyrelsen er kompetent myndighed for dem efter bekendtgørelse nr. 620 af 2. juni 2025, § 6, nr. 1.

Datacenterudbydere er også blandt de enheder, gennemførelsesforordning (EU) 2024/2690 gælder for. Om et bestemt datacenter er omfattet i Danmark eller et andet land, er datacentrets forhold, og det er ikke jeres opgave at afgøre det. → Digitaliseringsstyrelsen som tilsyn

Det, datacentret kan dokumentere

Forordningens bilag har et helt afsnit om fysisk sikkerhed, som giver et billede af, hvad et omfattet datacenter skal kunne vise. Punkt 13.1 handler om understøttende forsyninger som strøm, telekommunikation og køling. Punkt 13.2 handler om beskyttelse mod fysiske og miljømæssige trusler, og punkt 13.3 om perimeterkontrol og fysisk adgangskontrol. For alle tre siger bilaget, at foranstaltningerne testes, gennemgås og om nødvendigt ajourføres regelmæssigt.

Overført til jeres svar kan datacentret bidrage med:

Fysisk adgang · hvordan adgangen til bygning, sal og rack styres og logges.
Strøm og køling · reserveforsyning, overvågning og test af nødstrøm.
Miljø · beskyttelse mod brand, vand og temperatur.
Netværksforbindelser · hvis datacentret også leverer internetadgang til jer.
Erklæringer og certificeringer · fx ISO/IEC 27001 eller revisionserklæringer, som datacentret selv har fået udarbejdet.

Spørg datacentret, hvilken dokumentation det stiller til rådighed for kunder, og hvad I må dele videre. Noget kan kun læses under fortrolighed. Kontrollér også, hvad en certificering omfatter. Et certifikat gælder et bestemt omfang, og det er ikke givet, at netop den lokation eller den tjeneste, I bruger, er med. Kunden vil spørge om det, hvis I ikke selv har svaret.

Det, datacentret ikke kan dokumentere

Datacentrets dokumentation slutter, hvor jeres udstyr begynder. Den siger intet om:

Jeres servere og deres opsætning · opdateringer, rettigheder og tjenester.
Jeres netværk · firewalls, segmentering og forbindelser til kunderne.
Jeres konti og fjernadgang · hvem der kan logge ind, og hvorfra.
Jeres applikationer · det, kunden faktisk bruger.

Det er netop de fire områder, en penetrationstest af jeres leverance kan belyse. En test kan også vise, om jeres fjernadgang til udstyret i datacentret er beskyttet, og om jeres administrationsnet er adskilt fra kundetrafikken. → Segmentering som foranstaltning

Colocation eller drevet hosting

Hvor grænsen går, afhænger af aftalen. Ved colocation lejer I plads, strøm og køling, og alt fra racket og op er jeres. Ved en mere omfattende hostingaftale kan datacentret også stå for netværk, servere eller virtualisering, og så flytter grænsen. Jo mere datacentret administrerer, jo mere af testen kræver datacentrets tilladelse, og jo mere af dokumentationen skal komme derfra.

Der findes også mellemformer. Datacentret kan levere fjernhjælp, hvor dets teknikere genstarter udstyr eller skifter diske efter jeres anvisning. Så har datacentrets personale fysisk adgang til jeres udstyr, og kunden kan spørge, hvordan den adgang er styret. Svaret er en blanding af datacentrets procedurer og jeres egne regler for, hvem der må bestille hvad.

Læs aftalen, før I beskriver grænsen for kunden. → Leverancen kører hos en hostingpartner

Fysisk adgang og test

Kunden kan spørge, om den fysiske sikkerhed er testet. En almindelig penetrationstest af jeres systemer omfatter ikke fysisk adgang til datacentret, og I kan ikke lade teste et datacenter, I ikke ejer, uden datacentrets tilladelse. Svaret på det spørgsmål er datacentrets egen dokumentation, fordi forordningen netop pålægger et omfattet datacenter at teste sine fysiske foranstaltninger.

Hvad en penetrationstest generelt omfatter og ikke omfatter, er forklaret for købere på penetrationtest.dk (https://penetrationtest.dk/).

Sådan sætter I det sammen for kunden

Kunden har brug for et overblik, ikke en bunke dokumenter. Skriv en kort beskrivelse i tre dele: hvad datacentret står for og dokumenterer, hvad I står for, og hvordan jeres del er testet. Henvis til datacentrets dokumentation frem for at gengive den, og vedlæg et resumé af jeres egen test. → Hvem tester hvad i en lagdelt leverance

Et tænkt eksempel: en leverandør af et lønsystem har sine servere i colocation hos et dansk datacenter. En kommune, der bruger systemet, beder om dokumentation for sikkerheden. Leverandøren svarer, at datacentret står for adgang til bygningen, strøm og køling og har en ISO/IEC 27001-certificering, som kommunen kan se omfanget af hos datacentret. Leverandøren står selv for servere, netværk, fjernadgang og applikation, som blev testet i foråret, og vedlægger et resumé af testen med status på rettelser. Kommunen får dermed et svar, der viser begge dele og grænsen imellem dem.

Kundens leverandørregister skal efter forordningens punkt 5.2, hvis kunden er omfattet af den, rumme jer som direkte leverandør. Datacentret er jeres leverandør, ikke kundens, men kunden kan alligevel ønske at vide, hvem det er. → Krav i andet eller tredje led

Det skal I lade være med

At svare med datacentrets certifikat alene · det dækker bygningen, ikke jeres systemer.
At skrive, at datacentret er NIS2-godkendt · loven indeholder ingen godkendelse af den slags.
At lade teste fysisk adgang uden datacentrets tilladelse · bygningen er ikke jeres.
At dele fortrolige erklæringer videre uden lov · spørg datacentret først.
At glemme grænsen ved drevet hosting · den flytter sig med aftalen.

Hvad kan og ikke kan konkluderes

Datacentrets dokumentation kan vise, hvordan bygning, forsyning og fysisk adgang er sikret og testet af datacentret. Den kan ikke vise, hvordan jeres udstyr, netværk og konti er sikret. Jeres egen test kan vise det sidste for de dele, der var med. Om de to tilsammen er nok, vurderer kunden ud fra sin aftale og risikovurdering.