Kundens 24 timer: hvorfor kunden kan have brug for jer hurtigt ved en hændelse

Fristerne for hændelsesunderretning i NIS 2-loven gælder kunden, ikke jer. Alligevel kan det være jer, der ved noget først, når en hændelse rammer den del af kundens drift, I leverer. Kunden kan derfor kun overholde sine frister, hvis I giver besked hurtigt og med de oplysninger, kunden skal bruge.

Det hviler på lovens §§ 12 og 13 og på SAMSIK’s vejledning om hændelsesunderretning. Kundens frister er gengivet her, fordi de forklarer kravene til jer. Hvornår en konkret hændelse skal underrettes, afgør kunden. Teksten er ikke juridisk rådgivning.

De tre frister, kunden arbejder under

NIS 2-lovens § 12, stk. 1, pålægger væsentlige og vigtige enheder at underrette den kompetente myndighed og CSIRT’en om enhver væsentlig hændelse. § 13, stk. 1, beskriver forløbet:

Tidlig varsling · uden unødigt ophold og senest inden for 24 timer, efter at enheden har fået kendskab til den væsentlige hændelse.
Hændelsesunderretning · senest inden for 72 timer, med en indledende vurdering af alvor og indvirkning.
Endelig rapport · senest 1 måned efter hændelsesunderretningen, med bl.a. den sandsynlige årsag og de afbødende foranstaltninger.

Fristerne regnes fra kundens kendskab. Det er derfor, tiden mellem jeres opdagelse og jeres besked til kunden betyder noget. Hvad der gør en hændelse væsentlig, er et emne for sig. → Væsentlig hændelse

Kunden bærer ansvaret, også når driften er hos jer

SAMSIK’s vejledning om hændelsesunderretning siger, at når en enhed køber eller outsourcer vedligeholdelse af sine net- og informationssystemer, er det enhedens ansvar at underrette ved en væsentlig hændelse. Vejledningen åbner for, at enheden aftaler med fx driftsleverandøren, at den underretter på enhedens vegne, men ansvaret for rettidig underretning ligger altid hos enheden.

For jer betyder det to ting. Kunden har en klar interesse i at skrive en hurtig besked fra jer ind i aftalen. Og hvis I påtager jer at underrette på kundens vegne, er det en opgave, der skal beskrives præcist, fordi fejl rammer kunden. SAMSIK’s vejledning om foranstaltninger nævner også en leverandørforpligtelse til at underrette om relevante hændelser og til at bistå enheden med at overholde dens rapporteringsforpligtelser. → Besked til kunden om hændelser

Hvad kunden skal bruge fra jer

Ifølge SAMSIK’s vejledning skal den tidlige varsling bl.a. indeholde en beskrivelse af forløbet, hændelsens type og årsag, en tidslinje og oplysninger om øvrige involverede, fx leverandører. Meget af det kan kun I svare på, når hændelsen ligger i jeres del. Forbered derfor en kort besked med faste punkter:

Hvornår I opdagede det · dato og klokkeslæt, og hvordan det blev opdaget.
Hvad der er ramt · hvilken del af leverancen, og om kundens data eller adgange kan være berørt.
Hvad I ved om årsagen · også når svaret er, at det endnu ikke vides.
Hvad I har gjort · fx afbrudt en forbindelse eller spærret en konto.
Hvem kunden kan kontakte · en navngiven rolle, der kan nås, mens sagen står på.

Det er bedre at give en ufuldstændig besked hurtigt og opdatere den end at vente på et komplet billede. Kundens egen proces er netop bygget op om opdateringer. Aftal på forhånd, hvem hos jer der må sende beskeden, så den ikke venter på en leder, der ikke kan nås. Gem tidspunktet for hver besked, I sender. Kunden kan få brug for at dokumentere, hvornår kendskabet opstod, og jeres tidsstempler er en del af det billede.

Hvor testen kommer ind

En penetrationstest er ikke et beredskab, men den kan vise, om jeres forudsætninger for en hurtig besked holder. Kan I opdage misbrug af den adgang, kunden er afhængig af? Er der logning, der kan give en tidslinje? Ved jeres folk, hvem hos kunden der skal have besked? De sidste to spørgsmål afprøves bedst i en øvelse, ikke i en pentest. → Opdager I et angreb?

Testen kan også selv give anledning til en hændelsesvurdering, hvis testeren støder på tegn på, at andre har været inde. Det er en situation, der skal være aftalt før testen. → Hændelse eller testfund

Når kunden er uden for NIS 2-loven

Ikke alle kunder følger lovens frister. NIS 2-lovens § 1, stk. 2, siger, at loven ikke gælder for enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og heller ikke for enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. Sådanne kunder kan have andre frister for underretning, og for finansielle enheder er det DORA, der sætter rammen. Spørg kunden, hvilke regler kunden underretter efter, før I lover noget. → Energi, tele og finans

Et tænkt eksempel

En leverandør drifter et fjernovervågningssystem for et vandværk. En tekniker opdager en aften, at der er logget ind på systemet med en servicekonto, som ikke burde være i brug. Leverandøren spærrer kontoen og ringer til vandværkets aftalte kontaktperson samme aften med de oplysninger, der kendes, efterfulgt af en skriftlig besked med tidspunkt, berørt system og det, der er gjort. Næste morgen kommer en opdatering. Vandværket vurderer selv, om der er tale om en væsentlig hændelse, og har oplysningerne til en eventuel tidlig varsling. Bagefter gennemgår de to parter forløbet og retter den del af aftalen, der var uklar: hvem hos vandværket der skal ringes til, når den faste kontaktperson har fri.

Det skal I lade være med

At vente, til I kender årsagen · kundens frist løber fra kundens kendskab.
At selv afgøre, at hændelsen ikke er væsentlig for kunden · den vurdering er kundens.
At sende beskeden til en generel postkasse · aftal en kanal, der bliver læst, også uden for arbejdstid.
At underrette myndigheden på kundens vegne uden aftale · det kræver en klar aftale.
At love lovens frister til en kunde, der ikke er omfattet af loven · andre regler kan gælde.

Hvad kan og ikke kan konkluderes

En aftalt besked og et forberedt indhold viser kunden, at I kan bidrage til kundens underretning. Det viser ikke, at en konkret hændelse bliver opdaget, og det fjerner ikke kundens ansvar. Om en hændelse skal underrettes, og hvornår kunden fik kendskab til den, vurderer kunden. Hvordan en hændelse håndteres i detaljer, ligger uden for en penetrationstest.

Tjekliste til hurtig besked

☐ Er der en aftalt kanal til kunden, der kan nås døgnet rundt?
☐ Har I en kort skabelon med de faste punkter?
☐ Ved jeres vagt, hvornår der skal ringes, og hvornår der skal skrives?
☐ Er det aftalt, om I underretter på kundens vegne, eller kun kunden?
☐ Ved I, hvilke regler kunden underretter efter?
☐ Kan jeres logning give en tidslinje for den adgang, kunden er afhængig af?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2, om energi, tele og finans; § 12, stk. 1, og § 13, stk. 1, om underretning og frister.
SAMSIK, vejledning om hændelsesunderretning (juni 2025): afsnit 2 om outsourcet vedligeholdelse og indholdet af den tidlige varsling.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om leverandørens underretning og bistand.

Senest gennemgået: oktober 2026.