Direktiv, lov og forordning: hvilken tekst gælder for jeres kunde?

Når en kunde skriver “i henhold til NIS2”, kan det pege på mindst tre forskellige retsakter og et par vejledninger oven i. Hvilken tekst der binder kunden, afhænger af, hvor kunden er etableret, hvilken sektor kunden er i, og hvilken slags tjeneste kunden leverer. For en dansk kunde er det som udgangspunkt NIS 2-loven, der gælder. Forordning (EU) 2024/2690 gælder direkte for en afgrænset gruppe digitale udbydere, og direktivet selv er rettet til medlemsstaterne, ikke til virksomhederne.

Det lyder formelt, men det har praktisk betydning for jer. Den tekst, der binder kunden, afgør, hvilke ord kunden bruger, hvem der fører tilsyn, og hvor meget plads der er til at forhandle kravet til jer. Teksten er ikke juridisk rådgivning.

Direktivet er adressen, ikke afsenderen

NIS2-direktivet (EU) 2022/2555 pålægger medlemsstaterne at indføre reglerne i national ret. Artikel 41 gav dem frist til 17. oktober 2024 og bad dem anvende reglerne fra 18. oktober 2024. Artikel 5 tillader samtidig, at et land går videre end direktivet og sikrer et højere niveau.

For en leverandør betyder det, at en henvisning til “artikel 21” ikke nødvendigvis er hele svaret. Direktivet beskriver, hvad landene skal kræve, men det er den nationale lov, kunden skal overholde. Når kunden citerer direktivet, kan det være, fordi direktivets tekst er kendt på tværs af landegrænser, eller fordi kravbilaget er skrevet til flere lande på én gang. → NIS2-direktivets artikel 21 læst af en leverandør

Den danske lov binder den danske kunde

I Danmark er direktivet gennemført ved lov nr. 434 af 6. maj 2025, NIS 2-loven, som trådte i kraft 1. juli 2025. Det er lovens § 6, der opregner de foranstaltninger, kunden skal have, og lovens bilag 1 og 2, der afgør, hvilke sektorer der er med. Bekendtgørelse nr. 620 af 2. juni 2025 fordeler tilsynet mellem myndighederne.

Lovens § 1, stk. 2, er vigtig at kende, før I slår op i den. Loven gælder ikke enheder i det omfang, de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og den gælder ikke enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. En kunde, der driver elnet eller fjernvarme, kan derfor have sine krav fra energiberedskabsloven og ikke fra NIS 2-loven. → Energi, tele og finans: når kunden er undtaget fra NIS 2-loven

Forordningen gælder kun bestemte udbydere

Kommissionens gennemførelsesforordning (EU) 2024/2690 er en anden slags tekst. Den gælder umiddelbart i alle medlemsstater uden en national lov, men kun for de “relevante enheder”, artikel 1 nævner: blandt andet DNS-tjenesteudbydere, udbydere af cloudcomputing, datacentre, administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser og tillidstjenester.

For de udbydere er forordningens bilag det mest detaljerede sæt krav, der findes, også til sikkerhedstest i punkt 6.5. En kommune eller en fødevareproducent er ikke omfattet af forordningen, selv om de er omfattet af loven. Når sådan en kunde alligevel bruger forordningens ord, er de lånt, ikke pålagt. → Gennemførelsesforordning 2024/2690

Vejledningerne forklarer, men binder ikke

Over for de bindende tekster står vejledningerne. Styrelsen for Samfundssikkerhed har udgivet vejledninger om anvendelsesområde, foranstaltninger og hændelser, og andre myndigheder kan have deres egne. ENISA’s Technical Implementation Guidance fra juni 2025 forklarer forordningens bilag punkt for punkt, men er skrevet til de udbydere, forordningen gælder for, og er ikke bindende.

Vejledningerne kan være kilden til de mest konkrete formuleringer i et kravbilag. Det er nyttigt at vide, når I skal vurdere, om et krav er til forhandling. Et punkt, der i vejledningen står som en anbefaling, kan godt være skrevet som et ufravigeligt krav i kundens bilag. Så er det kundens valg at skærpe det, og I kan spørge, om der er plads til en begrundet afvigelse. Hvilken myndighed kunden hører under, kan I finde i bekendtgørelsen. → Hvem fører tilsyn med jeres kunde?

Kunder i andre lande

Har I kunder i flere medlemsstater, skal hver kunde følge sit eget lands gennemførelse af direktivet. Fordi artikel 5 tillader strengere regler, kan to kunder i to lande have forskellige krav med samme begrundelse. For de digitale udbydere i lovens § 2, stk. 2, afhænger det danske tilsyn desuden af, hvor udbyderen har sit hovedforretningssted. Gå ikke ud fra, at et andet lands lov ligner den danske; bed kunden henvise til den konkrete bestemmelse. Et kravbilag oversat fra et andet sprog kan desuden bruge andre ord end den danske lov, selv om indholdet er det samme. → Kunder i flere EU-lande

Et tænkt eksempel

En leverandør af et vagtplansystem har tre kunder, der alle skriver “NIS2” i deres krav. Den første er en dansk kommune. Her er det NIS 2-loven og SAMSIK’s vejledninger, der ligger bag. Den anden er en dansk hostingudbyder, der bruger systemet internt. Den er selv en relevant enhed efter forordningen, og dens krav bygger sandsynligvis på bilagets punkter. Den tredje er et elselskab, som kan være omfattet af energiberedskabsloven frem for NIS 2-loven.

Leverandøren kan godt lave én test af systemet. Men svarene til de tre kunder bør henvise til den tekst, hver kunde faktisk er underlagt, og ikke til den samme paragraf for alle tre.

Det skal I lade være med

At citere direktivet som om det binder jer · det er rettet til medlemsstaterne.
At gå ud fra, at forordningen gælder alle NIS2-kunder · den gælder kun de udbydere, artikel 1 nævner.
At overse lovens § 1, stk. 2 · energi, tele og finans kan have deres egne regler.
At behandle vejledninger som lovkrav · de forklarer, men binder ikke.
At antage, at udenlandske kunder har de danske regler · hvert land har sin egen lov.

Hvad kan og ikke kan konkluderes

Ved at finde den tekst, der binder kunden, kan I forstå, hvor kravet kommer fra, og hvilken myndighed kunden skal forklare sig over for. I kan ikke slutte, at I selv er omfattet, fordi kunden er det, eller at et krav er ugyldigt, fordi det er lånt fra en tekst, der ikke binder kunden. Kravet til jer gælder, fordi det står i aftalen. Spørgsmålet om jeres egen status hører til en anden vurdering, som I må lave for sig. → NIS 2-loven i Danmark