Energi, tele og finans: når kunden er undtaget fra NIS 2‑loven

En leverandør til et elselskab, et teleselskab eller en bank kan få et krav om test, der nævner NIS2. Men netop disse kunder kan være helt uden for den danske NIS 2-lov. Svaret hviler på lovens § 1, stk. 2: loven gælder ikke enheder, i det omfang de er omfattet af loven om styrket beredskab i energisektoren eller af loven om sikkerhed og beredskab i telesektoren, og den gælder ikke enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. For de finansielle enheder gælder i stedet EU’s forordning om digital operationel modstandsdygtighed, DORA.

For jer betyder det, at et krav med en NIS2-henvisning fra en sådan kunde kan bygge på andre regler, end henvisningen antyder. Det er værd at finde ud af, hvilke regler kravet faktisk hviler på, før I svarer. Teksten er ikke juridisk rådgivning.

Hvad § 1, stk. 2, siger

Bestemmelsen har tre led:

Energi · loven gælder ikke enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren.
Tele · loven gælder ikke enheder, i det omfang de er omfattet af lov om sikkerhed og beredskab i telesektoren. Teksten henviser dog til en undtagelse i den lovs § 1, stk. 2.
Finans · loven gælder ikke enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed.

Ordene “i det omfang” er vigtige. En virksomhed kan have aktiviteter, der falder under energiloven, og andre aktiviteter, der stadig hører under NIS 2-loven. For leverandøren er det kundens opgave at afklare, men I kan spørge, hvilken del af kundens forretning jeres leverance understøtter. → Bilag 1 og 2

Energisektoren har sin egen lov

Lov nr. 258 af 6. marts 2025 om styrket beredskab i energisektoren gælder en lang række typer af virksomheder, fra elproducenter og netoperatører til fjernvarme, gas og olie. Loven har egne regler om organisatorisk beredskab, fysisk sikring og cybersikkerhed.

To bestemmelser er særligt relevante for en leverandør. § 6, stk. 2, nr. 7, lader ministeren fastsætte nærmere regler om forsyningskædesikkerhed, herunder forholdene mellem virksomheden og dens direkte leverandører. Og § 19, stk. 2, nr. 4, giver ministeriet adgang til at foretage sikkerhedsscanninger af virksomhedernes net- og informationssystemer som led i tilsynet. De nærmere regler fastsættes i bekendtgørelser, som I bør bede kunden om at henvise til, hvis kravet bygger på dem. Leverer I udstyr eller fjernadgang til driftsanlæg, så vær opmærksom på, at kunden kan have særlige hensyn til, hvornår og hvordan der må testes. → Leverandør til energisektoren

Telesektoren

NIS 2-loven henviser til lov om sikkerhed og beredskab i telesektoren, men gengiver ikke dens indhold. Leverer I til et teleselskab, så spørg, hvilke regler kravet til jer bygger på, og bed om henvisningen. Antag ikke, at NIS 2-lovens § 6 eller myndighedernes NIS2-vejledninger er grundlaget. Et teleselskab kan have egne sikkerhedskrav til leverandører, der har adgang til nettet eller til kundedata, og de kan være formuleret helt anderledes end et NIS2-kravbilag fra en anden branche. Bed om at se de punkter, der vedrører test, og spørg, om kunden forventer dokumentation i en bestemt form. → Leverandør til teleselskaber

Finanssektoren og DORA

DORA, forordning (EU) 2022/2554, har sit eget kapitel om styring af IKT-tredjepartsrisici. Artikel 28 beskriver de generelle principper, og artikel 30 opregner centrale kontraktbestemmelser, som finansielle enheder skal have i aftaler med tredjepartsudbydere af IKT-tjenester. For tjenester, der understøtter kritiske eller vigtige funktioner, skal aftalen efter artikel 30, stk. 3, bl.a. indeholde ret til adgang, inspektion og revision og krav om, at udbyderen gennemfører og tester beredskabsplaner og indfører passende sikkerhedsforanstaltninger.

DORA har også egne regler om test af digital operationel modstandsdygtighed, herunder trusselsbaseret penetrationstest for visse finansielle enheder. Det er en anden ramme end NIS2, med egne krav til testere og forløb. Artikel 26, stk. 2, siger, at den finansielle enhed skal identificere de IKT-tjenester, der understøtter kritiske eller vigtige funktioner, også dem, der er outsourcet til tredjepartsudbydere. En leverandør kan derfor blive inddraget i en sådan test hos kunden, og det kræver sin egen aftale om deltagelse, tilladelse og fortrolighed. Rammen forklares nærmere på red-teaming.dk.

En leverandør, der får et krav fra en bank, bør derfor spørge, om kravet bygger på DORA, og i givet fald hvilken artikel. → Leverandør til finanssektoren: DORA og ikke NIS 2-loven

Hvorfor henvisningen til NIS2 alligevel optræder

Der kan være flere forklaringer på, at en undtaget kunde nævner NIS2:

Kunden har aktiviteter i flere sektorer · en del af forretningen kan stadig være omfattet af NIS 2-loven.
Kravbilaget er en fælles skabelon · en koncern bruger samme tekst til alle selskaber.
NIS2 bruges som pejlemærke · kunden henviser til direktivet som god praksis, ikke som retsgrundlag.
Kunden har selv blandet reglerne sammen · det sker, og en venlig forespørgsel kan rydde op.

Uanset forklaringen er det aftalen, der binder jer. Men det hjælper at vide, hvilke regler kunden selv skal leve op til, fordi det bestemmer, hvilken dokumentation kunden skal kunne vise videre.

Det skal I lade være med

At svare med NIS2-vejledninger til en bank · DORA har egne krav og eget sprog.
At antage, at energiselskaber følger NIS 2-loven · energiloven kan gælde i stedet.
At overse ordene “i det omfang” · undtagelsen kan være delvis.
At love en test efter DORA’s regler for trusselsbaseret test · den ramme har særlige krav og hører til kundens eget forløb.
At lade henvisningen stå uafklaret i aftalen · bed om det præcise retsgrundlag.

Hvad kan og ikke kan konkluderes

§ 1, stk. 2, viser, at kunder i energi, tele og finans kan være undtaget fra NIS 2-loven helt eller delvist og i stedet følge egne regler. Det betyder ikke, at kravene til jer bliver mindre. De kan være mere detaljerede, fx DORA’s kontraktbestemmelser. Hvilke regler der gælder for en bestemt kunde, kan kun kunden afklare, og en test hos jer kan ikke afgøre det spørgsmål. Testen kan belyse jeres leverance, uanset hvilken lov kunden henviser til.