Kunder i flere EU‑lande: når kravene bygger på forskellige nationale love

En leverandør med kunder i Danmark, Sverige og Tyskland kan få tre NIS2-krav, der henviser til tre forskellige love. Det skyldes, at NIS2 er et direktiv, som hvert land gennemfører i sin egen lovgivning, og at artikel 5 i direktivet tillader landene at gå videre end minimumskravene. Svaret for leverandøren er at finde ud af, hvilket lands regler hver kunde er bundet af, og at bygge testdokumentationen, så den kan bruges uanset hvilken lov kunden henviser til.

Her bygger vi kun på EU-teksterne og den danske lov. Hvad en anden medlemsstats lov siger, skal I have oplyst af kunden eller slå op i landets egen kilde. Teksten er ikke juridisk rådgivning.

Hvilket land en kunde hører under

Direktivets artikel 26, stk. 1, er udgangspunktet. En omfattet enhed hører under jurisdiktionen i den medlemsstat, hvor den er etableret. Der er tre undtagelser:

Teleudbydere · hører under det land, hvor de leverer deres tjenester.
Digitale udbydere · DNS, cloud, datacentre, indholdsleveringsnetværk, administrerede tjenester og sikkerhedstjenester, markedspladser, søgemaskiner og sociale platforme hører under det land, hvor de har hovedforretningssted i Unionen.
Offentlige forvaltningsenheder · hører under det land, der har oprettet dem.

Hovedforretningsstedet er efter artikel 26, stk. 2, som udgangspunkt der, hvor beslutningerne om cybersikkerhedsforanstaltningerne overvejende træffes. Den danske lov gentager reglerne i § 2. En kunde med datterselskaber i flere lande kan derfor have selskaber under hver sin lov, mens en cloudkunde med kontorer i mange lande kan høre under ét land. → Hvilken tekst gælder for jeres kunde?

Hvor kravene kan blive forskellige

Selv om alle lande bygger på samme direktiv, kan kravene til jer variere af flere grunde. Landene kan efter artikel 5 vedtage regler, der sikrer et højere niveau. Landene udpeger hver deres myndigheder, som kan udgive egne vejledninger. Og landene vælger selv ordlyden i deres lov, så samme foranstaltning kan være formuleret forskelligt.

For leverandøren er det især ordlyden, der skaber arbejde. En dansk kunde henviser til NIS 2-lovens § 6, stk. 1, nr. 6, om effektivitet. En kunde i et andet land henviser til en tilsvarende bestemmelse i sin egen lov, med et andet nummer og måske et andet ord. Bed kunden om at angive, hvilken bestemmelse i kundens nationale lov kravet bygger på, og hvad den svarer til i direktivets artikel 21. → Svar på et uklart krav

Hvor kravene er ens

For én gruppe kunder er teksten den samme i alle lande. Direktivets artikel 21, stk. 5, pålagde Kommissionen at fastsætte tekniske og metodologiske krav for de digitale udbydere. Det skete med gennemførelsesforordning (EU) 2024/2690, som efter artikel 16 er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat. En cloudkunde i Danmark og en cloudkunde i Frankrig henviser altså til samme bilag med samme punktnumre.

Også for finansielle kunder er rammen fælles. DORA, forordning (EU) 2022/2554, gælder umiddelbart i alle medlemsstater, og direktivets artikel 4 lader sektorspecifikke EU-retsakter med mindst samme virkning gå forud for direktivets regler. → Forordning 2024/2690

Myndighederne kan tale sammen

Leverer en kunde tjenester i flere lande, eller ligger kundens systemer i et andet land end kunden selv, skal myndighederne efter direktivets artikel 37 samarbejde og bistå hinanden. Den danske lov gennemfører det i § 27. En myndighed kan bede en anden myndighed om at træffe tilsynsforanstaltninger og skal underrette de andre berørte lande om de foranstaltninger, den træffer.

For jer betyder det, at jeres dokumentation i princippet kan blive læst af myndigheder i flere lande. Det taler for en dokumentation, der er entydig om omfang, dato og resultat, og som ikke kun giver mening sammen med én kundes kravbilag. → Kunden skal kunne vise tilsynet jeres testresultat

Én testbasis, flere henvisninger

Det praktiske svar er at holde testen fælles og tilpasse henvisningerne. En måde at gøre det på:

Kortlæg kunderne · hvilket land, hvilken sektor og hvilken lov eller forordning hver kunde henviser til.
Find fællesmængden · de systemer og adgangsveje, alle kunderne er afhængige af.
Test fællesmængden én gang · med et omfang, der er beskrevet, så hver kunde kan genkende sin leverance.
Lav en oversigt over henvisninger · hvilket krav hos hvilken kunde testen besvarer.
Tilføj det kundespecifikke · særlige integrationer eller opsætninger tages for sig.

Sproget hører med. Aftal, om rapporten skal foreligge på dansk, engelsk eller kundens sprog, og hold tal, datoer og omfang ens på tværs af versionerne. → Samme rapport til flere kunder

Når I selv er digital udbyder

Er jeres virksomhed selv omfattet som digital udbyder, afgøres jeres jurisdiktion af jeres eget hovedforretningssted, ikke af kundernes. Efter NIS 2-lovens § 9, stk. 1, nr. 5, skal I ved registreringen oplyse de medlemsstater, hvor I leverer tjenester. Jeres egen myndighed kan derfor være dansk, selv om kunderne ligger i andre lande. → Registrering som digital udbyder

Det giver to spor, der skal holdes adskilt. Det ene er jeres egne pligter efter forordningen og den danske lov, som jeres egen myndighed kan spørge til. Det andet er de krav, hver kunde stiller i aftalen ud fra sin nationale lov. Den samme test kan bruges i begge spor, men henvisningerne og modtagerne er forskellige.

Det skal I lade være med

At læse en udenlandsk kundes krav med den danske lov i hånden · kundens egen nationale lov gælder.
At gætte på andre landes regler · bed kunden om bestemmelsen, eller slå den op i landets officielle kilde.
At teste det samme flere gange, fordi ordlyden er forskellig · sammenlign med direktivets artikel 21.
At oversætte rapporten uden at holde tallene ens · versionerne skal kunne lægges side om side.
At glemme, at forordningen er ens overalt · digitale kunder deler samme bilag.

Hvad kan og ikke kan konkluderes

Direktivet og den danske lov viser, hvordan det afgøres, hvilket land en kunde hører under, og at landene må gå videre end minimumskravene. De siger intet om indholdet af andre landes love. En fælles test med en tydelig oversigt over henvisninger kan dække flere kunders krav, men den afgør ikke, om en bestemt kunde opfylder sin nationale lov.

Tjekliste for leverandører med kunder i flere lande

☐ Ved I, hvilket land og hvilken lov hver kunde henviser til?
☐ Har I bedt om den konkrete bestemmelse, når kravet henviser til en udenlandsk lov?
☐ Er fællesmængden af systemer og adgangsveje afgrænset?
☐ Findes der en oversigt, der viser, hvilke krav testen besvarer hos hvem?
☐ Er sproget aftalt, og er versionerne ens i tal og omfang?
☐ Ved I, hvilket land I selv hører under, hvis I er omfattet?