Hvem fører tilsyn med jeres kunde? De kompetente myndigheder i Danmark

Leverandører, der har kunder i flere sektorer, oplever, at kravene ikke er ens, selv om alle kunder henviser til NIS2. En del af forklaringen er, at kunderne har forskellige myndigheder. Svaret hviler på bekendtgørelse nr. 620 af 2. juni 2025 om udpegning af kompetente myndigheder, som er udstedt med hjemmel i NIS 2-lovens § 20.

Kort sagt er der ikke én NIS2-myndighed i Danmark, men en række styrelser, der hver har ansvaret for bestemte sektorer. Den myndighed, der fører tilsyn med jeres kunde, vurderer, om kunden lever op til loven. Dens vejledninger og forventninger smitter af på de krav, kunden sender videre til jer.

Hvem der er udpeget

Bekendtgørelsen fordeler sektorerne i lovens bilag 1 og 2 mellem disse myndigheder:

Styrelsen for Samfundssikkerhed (SAMSIK) · kommunerne og den centrale forvaltning, skibstrafiktjenester, internetudvekslingspunkter, kemikalier og dele af fremstillingsindustrien, herunder computere og elektronik, elektrisk udstyr, maskiner og køretøjer. → SAMSIK og NIS2
Sundhedsdatastyrelsen · sundhedssektoren, regionerne og fremstilling af medicinsk udstyr.
Digitaliseringsstyrelsen · DNS, topdomæner, cloud, datacentre, indholdsleveringsnetværk, tillidstjenester, administrerede tjenester og sikkerhedstjenester samt onlinemarkedspladser, søgemaskiner og sociale platforme. → Digitaliseringsstyrelsen som tilsyn
Trafikstyrelsen · luft, jernbane, vejtransport, havne og post- og kurertjenester.
Søfartsstyrelsen · rederier.
Miljøstyrelsen · drikkevand, spildevand og affaldshåndtering, bortset fra affaldsforbrændingsanlæg.
Energistyrelsen · affaldsforbrændingsanlæg, som også er omfattet af loven om styrket beredskab i energisektoren.
Uddannelses- og Forskningsstyrelsen · rummet og forskning.
Klimadatastyrelsen · styrelser og institutioner under Klima-, Energi- og Forsyningsministeriet inden for rummet.
Fødevarestyrelsen · engrosdistribution og industriel produktion af fødevarer.

Listen er en kort gengivelse. Det præcise afgrænsningsforhold, fx mellem offentlig forvaltning og de øvrige sektorer, står i bekendtgørelsens §§ 1 til 13. Der er undtagelser, som kan overraske. Regionerne hører under Sundhedsdatastyrelsen og ikke under SAMSIK, og Banedanmark og Vejdirektoratet hører under Trafikstyrelsen, selv om de er en del af den centrale forvaltning. Leverer I til en offentlig kunde, er det derfor ikke nok at vide, at kunden er offentlig.

Sektorer, der ikke er med

Energi, tele og finans er ikke på listen på samme måde, fordi NIS 2-lovens § 1, stk. 2, undtager enheder omfattet af energiberedskabsloven, telesektorens lov og de finansielle enheder, der er udpeget efter lov om finansiel virksomhed. En kunde i de sektorer kan have en anden myndighed og andre regler bag sine krav. → Energi, tele og finans

Hvorfor kundens myndighed betyder noget for jer

SAMSIK’s vejledning om foranstaltninger er generel og henvender sig til alle sektorer, men den skriver selv, at den kan suppleres af mere sektorspecifik vejledning fra den ansvarlige myndighed. Vejledningen skriver også, at det i alle tilfælde er den sektoransvarlige myndighed, der vurderer, om en enhed lever op til loven.

For jer betyder det to ting. Kundens formuleringer kan bygge på en vejledning, I ikke har læst, og to kunder i forskellige sektorer kan have forskellige forventninger til den samme slags dokumentation. Når et krav virker uventet, er et godt første spørgsmål: hvilken myndighed fører tilsyn med jer, og har den udgivet vejledning om leverandører eller test? → Sektorernes forskelle

SAMSIK har selv udgivet sektorspecifikke vejledninger til kommuner og til den centrale forvaltning ud over de tværgående vejledninger. Andre myndigheder kan have deres egne. Bed kunden om at henvise til den vejledning, kravet bygger på, så I læser den samme tekst som kunden.

Tilsynet er rettet mod kunden

NIS 2-loven giver myndighederne beføjelser over for de omfattede enheder. Over for væsentlige enheder kan myndigheden efter § 21 bl.a. foretage sikkerhedsaudits og sikkerhedsscanninger og kræve dokumentation. Over for vigtige enheder sker tilsynet efter § 24 reaktivt. Bestemmelserne giver ikke myndigheden et tilsyn med jer som leverandør, hvis I ikke selv er omfattet.

Når myndigheden kræver oplysninger eller dokumentation, skal den efter § 21, stk. 2, angive formålet og præcisere, hvad der skal udleveres, og i hvilken form. En kunde, der får sådan en anmodning, kan derfor komme til jer med et meget konkret spørgsmål og en kort frist. Det er lettere at svare, hvis jeres testdokumentation allerede ligger klar i en form, der kan deles.

Men en myndighed, der spørger kunden, hvordan leverandørrisikoen er håndteret, får svar, som kan hvile på jeres dokumentation. SAMSIK’s vejledning nævner som et muligt kontraktpunkt, at leverandøren samarbejder med kunden om at bistå myndigheden. → Tilsynets audits og scanninger

Registrering og indberetning sker digitalt

Bekendtgørelsens § 14 fastsætter, at registrering og underretning om hændelser sker gennem en selvbetjeningsløsning på Virk.dk, som SAMSIK anviser. Det gælder kunden. Bekendtgørelsen har også regler for, hvordan kommunikationen anses for at være kommet frem, og for en alternativ løsning, hvis selvbetjeningen ikke kan bruges, fx under en hændelse. Er I selv en af de digitale udbydere i lovens § 9, fx en MSP, gælder registreringspligten også jer. → Registrering som digital udbyder

Et tænkt eksempel

En leverandør af it-drift har to kunder: en kommune og en fødevaregrossist. Kommunen er under tilsyn af SAMSIK, grossisten af Fødevarestyrelsen. Begge beder om dokumentation for test, men kommunen henviser til en spørgeramme fra sin myndighed, mens grossisten bruger sin egen skabelon. Leverandøren kan med fordel lave én fælles beskrivelse af testen og derefter tilpasse følgebrevet til hver kunde, så hvert svar passer til den myndighed, kunden skal svare. Selve testen og rapporten er den samme. Det, der varierer, er, hvilke oplysninger der fremhæves, og hvilken vejledning svaret henviser til.

Det skal I lade være med

At antage, at alle NIS2-kunder har samme myndighed · der er en række styrelser med hver sine sektorer.
At kontakte kundens myndighed for at få kravet forklaret · spørgsmålet hører til hos kunden.
At overse sektorvejledninger · kundens krav kan bygge på en vejledning ud over SAMSIK’s generelle.
At tro, at myndigheden fører tilsyn med jer · kun hvis I selv er omfattet.
At skrive ét standardsvar til alle sektorer · fælles dokumentation er fint, men følgebrevet bør passe til kundens myndighed.

Hvad kan og ikke kan konkluderes

Bekendtgørelsen viser, hvilken myndighed der fører tilsyn med en given kunde, og dermed hvor sektorspecifikke forventninger kan komme fra. Den siger intet om, hvilke krav kunden skal stille til jer, og den gør ikke myndigheden til jeres tilsyn. Om en bestemt kunde hører under en bestemt myndighed, afhænger af kundens sektor og type og bør bekræftes af kunden. Teksten er ikke juridisk rådgivning.

Tjekliste til kundens myndighed

☐ Ved I, hvilken sektor kunden er omfattet i?
☐ Har kunden oplyst, hvilken styrelse der fører tilsyn?
☐ Har I spurgt, om kunden bygger kravet på en sektorvejledning?
☐ Er kunden måske omfattet af energi-, tele- eller finansreglerne i stedet?
☐ Har I vurderet, om I selv skal registreres som digital udbyder?

Kilder

Bekendtgørelse nr. 620 af 2. juni 2025: §§ 1 til 13 om de kompetente myndigheder og § 14 om digital kommunikation.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2, § 9, § 20, § 21 og § 24.
SAMSIK, NIS 2-vejledninger: oversigt over tværgående og sektorspecifikke vejledninger.
SAMSIK, vejledning om foranstaltninger (juni 2025): forordet om sektorspecifik vejledning og afsnit 4 om samarbejde med tilsynet.

Senest gennemgået: oktober 2026.