Testresultater og koncernens øvrige selskaber

Nogle leverandører er en del af en koncern, og leverancen til kunden kan hvile på mere end det selskab, der har skrevet under på aftalen. Moderselskabet ejer måske platformen, et søsterselskab står for driften, og fælles IT dækker hele gruppen. Når en NIS2-kunde spørger til de selskaber, er svaret ikke at sende koncernens samlede testmateriale. Svaret hviler på at vise, hvilke dele af leverancen der ligger hos hvem, og hvilket testresultat der dækker hver del.

Kunden har en aftale med ét selskab, men er afhængig af alt, der bærer leverancen. Teksten er ikke juridisk rådgivning.

Hvorfor kunden spørger til resten af koncernen

NIS 2-lovens § 6, stk. 1, nr. 4, nævner forsyningskædesikkerhed, herunder forholdet mellem den omfattede enhed og dens direkte leverandører, blandt de foranstaltninger, kunden skal have. NIS2-direktivets artikel 21, stk. 3, beder enheden tage hensyn til de sårbarheder, der er specifikke for hver direkte leverandør, og til kvaliteten af leverandørens produkter og sikkerhedspraksis.

Hvis jeres leverance i praksis kører på moderselskabets platform, er den platform en del af det, kunden er afhængig af, uanset hvilket selskab der står på fakturaen. Kunden har derfor grund til at spørge, og det er bedre at svare åbent end at lade kunden finde ud af det selv. → Hele virksomheden eller kun leverancen?

Tegn kæden inden for koncernen

Start med et enkelt overblik, som også kan bruges over for kunden:

Selskabet med aftalen · det selskab, kunden har kontrakt med, og det, kunden har i sit leverandørregister.
Selskaber, der ejer dele af leverancen · fx moderselskabets platform eller et søsterselskabs produkt.
Selskaber, der driver dele af leverancen · fx en fælles driftsfunktion eller et koncern-IT, der administrerer servere og konti.
Fælles systemer · identitetsstyring, e-mail og fjernadgang, der dækker hele koncernen.

For hver del skrives, hvilket selskab der har ansvaret, og om delen indgik i den seneste test. Bilaget til forordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere, beder i punkt 5.2 enheden føre et register over sine direkte leverandører med en liste over de produkter og tjenester, hver leverandør leverer. Jeres overblik gør det lettere for kunden at udfylde det korrekt. → Leverandørregistret hos kunden

Søsterselskabet kan være en underleverandør i kundens øjne

Juridisk er et søsterselskab en anden virksomhed. Udfører det en del af leverancen til kunden, kan kunden betragte det som en underleverandør, selv om I selv ser det som en intern funktion. Forordningens punkt 5.1.4, litra g, nævner krav vedrørende underentreprise og sikkerhedskrav til underleverandører, som noget kunden kan skrive ind i sine kontrakter.

Læs jeres aftale med kunden. Står der krav til underleverandører, er det ikke sikkert, at koncernselskaber er undtaget. Afklar det med kunden, før spørgsmålet kommer i forbindelse med dokumentationen. Er svaret, at søsterselskabet regnes som underleverandør, skal kunden måske også have oplysninger om, hvordan I selv stiller krav til det. Det kan føles kunstigt inden for samme koncern, men det er den samme dokumentation, I ville levere om en ekstern driftspartner, og den kan genbruges år efter år. → Krav til jeres egne underleverandører

Testresultater, der ejes af et andet selskab

Er moderselskabets platform testet af moderselskabet selv, er rapporten moderselskabets. Den kan indeholde fund i dele, der betjener andre kunder og andre datterselskaber. I kan ikke uden videre sende den videre, og det er heller ikke det, kunden har brug for.

Det, kunden kan bruge, er et uddrag eller en bekræftelse fra moderselskabet: hvilke dele af platformen testen dækkede, hvornår, og status på fund, der berører den del, jeres leverance bruger. Aftal internt i koncernen, hvem der må udlevere hvad, og hvem der svarer kunden. Ønsker I selv at teste dele, et andet selskab ejer, skal det selskab give tilladelse, ligesom ved enhver anden ejer. → Test af noget, I ikke ejer

Koncernselskaber i flere lande

SAMSIK’s vejledning om anvendelsesområdet, afsnit 1, beskriver, at jurisdiktionsreglerne gælder for den enkelte enhed, og at forskellige dele af en koncern derfor kan være omfattet af forskellige EU-landes gennemførelse af NIS2. Vejledningen nævner også, i afsnittet om partnervirksomheder og tilknyttede virksomheder, at det har betydning, om et selskab er uafhængigt af de øvrige i sine net- og informationssystemer.

For jer betyder det to ting. Et søsterselskab i et andet land kan have sine egne regler og sin egen tilsynsmyndighed. Og fælles systemer på tværs af koncernen er ikke en uvæsentlig detalje, når kunden vurderer, hvem leverancen afhænger af. → Kunder i flere EU-lande

Et tænkt eksempel

Et dansk datterselskab leverer et system til billetsalg til et trafikselskab. Systemet kører på en platform, som moderselskabet i et andet EU-land udvikler og driver for alle koncernens datterselskaber.

Trafikselskabet spørger, om platformen er testet. Datterselskabet laver et overblik over leverancen med tre lag: sin egen konfiguration og support, moderselskabets platform og koncernens fælles identitetsstyring. Datterselskabets egen test dækker konfigurationen og supportadgangen. Moderselskabet udleverer en bekræftelse af, at platformen er testet, med testperiode og status på fund i de dele, datterselskabet bruger. Den fælles identitetsstyring var ikke med i nogen af testene, og det skrives tydeligt. Trafikselskabet noterer overblikket i sit leverandørregister og beder om, at identitetsstyringen kommer med næste gang.

Det skal I lade være med

At sende koncernens samlede rapport · den indeholder fund, der angår andre kunder og selskaber.
At skjule, at leverancen hviler på et andet selskab · kunden opdager det, og tilliden lider.
At antage, at koncernselskaber ikke tæller som underleverandører · læs aftalen.
At teste et søsterselskabs systemer uden dets tilladelse · samme regel som over for enhver anden ejer.
At lade fælles systemer falde mellem to stole · skriv, hvem der tester dem.

Hvad kan og ikke kan konkluderes

Et overblik over koncernens dele gør det muligt for kunden at se, hvilke selskaber leverancen afhænger af, og hvilke dele der er testet. Det siger ikke noget om de dele, der ikke er testet, og en bekræftelse fra et andet selskab er kun så præcis, som det selskab gør den. Om kunden finder fordelingen tilfredsstillende, afgør kunden ud fra sin egen risikovurdering. Ændres fordelingen i koncernen, fx fordi driften flyttes til et andet selskab, bør overblikket opdateres og sendes til kunden af egen drift.

Tjekliste, når kunden spørger til koncernen

☐ Ved I, hvilke selskaber der ejer og driver hver del af leverancen?
☐ Fremgår det, hvilke dele den seneste test dækkede?
☐ Er det afklaret, om aftalens krav til underleverandører omfatter koncernselskaber?
☐ Er der aftalt, hvem i koncernen der må udlevere testresultater?
☐ Er fælles systemer placeret hos et ansvarligt selskab?
☐ Er selskaber i andre lande og deres regler kendt?