Kravet kommer i andet eller tredje led: hvem stiller det egentlig?

Nogle leverandører får et NIS2-krav fra en kunde, der ikke selv er omfattet. Kunden er en installatør, et konsulenthus eller en anden leverandør, som har fået kravet fra sin egen kunde og nu sender det videre. Når kravet når jer, har det været igennem en eller flere hænder, og det er ikke altid til at se, hvem der oprindeligt stillede det, eller hvad det oprindeligt gik ud på.

Svaret er at spore kravet tilbage til den omfattede enhed for enden af kæden. Det er den enheds risikovurdering, der er grunden til kravet, og det er den enheds sektor, der afgør, hvilke regler det bygger på. Undervejs kan kravet være skærpet, gjort bredere eller citeret forkert. Kender I udgangspunktet, kan I svare på det, der faktisk efterspørges.

Loven taler om direkte leverandører

NIS 2-loven nævner i § 6, stk. 1, nr. 4, forholdet mellem den omfattede enhed og dens direkte leverandører og tjenesteudbydere. Bemærkningerne til bestemmelsen, som SAMSIK gengiver i sin vejledning om foranstaltninger, tilføjer, at enhederne kunne overveje risici fra leverandører og tjenesteudbydere i andre led.

Det forklarer, hvorfor krav kan nå jer i andet eller tredje led. Den omfattede enhed stiller krav til sin direkte leverandør, og den kan bede leverandøren om at stille tilsvarende krav til sine underleverandører. Forordning 2024/2690 har i bilagets punkt 5.1.4, litra g, en lignende formulering for de digitale udbydere, den gælder for. → Krav til egne underleverandører

Kravet til jer er derfor et aftalekrav fra jeres kunde. Det er ikke en lovpligt for jer, medmindre I selv er omfattet.

Spor kravet tilbage

Bed jeres kunde om at oplyse, hvor kravet kommer fra. Det er et rimeligt spørgsmål, og kunden kan selv have en interesse i, at svaret bliver præcist.

Hvem er den omfattede enhed, og i hvilken sektor?
Hvilken klausul eller hvilket krav har jeres kunde fået, og kan I se ordlyden?
Hvilken del af jeres leverance når frem til den omfattede enhed?
Har jeres kunde sendt kravet videre uændret, eller er det omskrevet?

Svaret på det tredje spørgsmål kan være det vigtigste. En underleverandør leverer måske kun en lille del af det, der til sidst når den omfattede enhed. Testen bør handle om den del. → Hvilke systemer testes?

Et tænkt eksempel: En softwareleverandør udvikler et styringsmodul, som en installatør bruger i anlæg til en fjernvarmeforsyning. Installatøren sender et krav om årlig penetrationstest videre med henvisning til NIS2. Når softwareleverandøren spørger, viser det sig, at forsyningens krav gjaldt fjernadgangen til anlæggene, og at modulet kun indgår i en del af den.

Hvad der kan ske undervejs

Et krav, der passerer flere led, kan ændre sig undervejs. Kend de mulige forandringer, så I kan spørge målrettet.

Skærpelse · jeres kunde har lagt egne ønsker oven i det oprindelige krav.
Udvidelse · et krav om en bestemt del af leverancen er blevet til et krav om hele virksomheden.
Forenkling · et risikobaseret krav er blevet til et fast interval eller en bestemt testtype.
Fejlcitat · der henvises til en lovbestemmelse, som ikke siger det, kravet påstår.

Ingen af dem er nødvendigvis forkerte. Jeres kunde må gerne stille strengere krav end sin egen kunde. Men så er det jeres kundes krav og ikke den omfattede enheds, og det kan I drøfte på det grundlag. → Grænser for leverandørkrav

Sektoren afgør reglerne

Den omfattede enheds sektor afgør, hvilken lov og hvilken myndighed kravet i sidste ende hænger sammen med. En enhed i energisektoren er efter lovens § 1, stk. 2, ikke omfattet af NIS 2-loven i det omfang, den er omfattet af lov om styrket beredskab i energisektoren. En digital udbyder er underlagt forordning 2024/2690. Det kan forklare forskelle i ordvalg og forventninger. → Bilag 1 og 2 · → Hvilken tekst gælder?

Det er ikke jeres opgave at vurdere, om den omfattede enhed lever op til sine regler. Men det hjælper at vide, hvilken ramme kravet kommer fra, når I skal forstå, hvad der efterspørges.

Hvem får dokumentationen?

I en kæde er det ikke givet, hvem der skal se jeres testresultat. Jeres kunde vil måske sende det videre til den omfattede enhed. Aftal på forhånd, om det er tilladt, i hvilken form, og om I skal orienteres. Et resumé, der kan videregives, kan være bedre end en fuld rapport, der går gennem flere hænder.

Spørg også, om den omfattede enhed har brug for oplysninger direkte fra jer, for eksempel ved en hændelse. Hvis kravene om besked skal gå gennem jeres kunde, kan det tage tid, som den omfattede enhed ikke har.

Svar jeres kunde på skrift

Når I kender det oprindelige krav, så skriv til jeres kunde, hvordan I vil besvare det. Beskriv, hvilken del af leverancen testen dækker, hvorfor den del er valgt, og hvilken dokumentation kunden får. Henvis til det, I har fået oplyst om den omfattede enheds krav.

Svaret giver jeres kunde noget at sende videre, hvis den omfattede enhed spørger. Det beskytter også jer, hvis kravet senere bliver læst bredere, end I har forstået det. Bliver jeres kunde ved med at ønske et bredere omfang, end det oprindelige krav lægger op til, kan I tage stilling til det som en særskilt aftale.

Gem korrespondancen sammen med aftalen. Næste gang kravet kommer, måske fra den samme kæde, kan I tage udgangspunkt i det, der allerede er afklaret.

Det skal I lade være med

At besvare kravet uden at kende kilden · spørg, hvem der oprindeligt stillede det.
At acceptere en udvidelse som et lovkrav · skeln mellem jeres kundes ønsker og den omfattede enheds krav.
At teste mere end det, der når frem · omfanget bør følge den del, der indgår i den omfattede enheds leverance.
At lade rapporten gå videre uden vilkår · aftal, hvem der må se den.
At tage en lovhenvisning for givet · slå den op i primærkilden.

Hvad kan og ikke kan konkluderes

Når kravet er sporet tilbage, kan I bestille en test, der svarer på det, den omfattede enhed faktisk har brug for, og I kan forklare jeres kunde, hvorfor omfanget ser ud, som det gør. Testen kan indgå i dokumentationen gennem hele kæden.

Den afgør ikke, om jeres kunde eller den omfattede enhed opfylder sine forpligtelser. Hvad jeres aftale med kunden forpligter jer til, afhænger af ordlyden. Teksten er ikke juridisk rådgivning.