Leverandør til onlinemarkedspladser, søgemaskiner og sociale platforme

En platform, hvor forbrugere handler med andre, en søgetjeneste eller et socialt netværk kan stille ret detaljerede krav til sine leverandører om sikkerhedstest. Forklaringen er, at disse kunder hører til de digitale udbydere i NIS 2-lovens bilag 2, punkt 6, og dermed til den kreds, som gennemførelsesforordning (EU) 2024/2690 gælder for. Forordningen har et bilag med konkrete krav, herunder til kontrakter med leverandører og til sikkerhedstest.

For jer som leverandør betyder det, at kravbilaget kan henvise til bilagets punkter frem for til lovens paragraffer. Teksten er ikke juridisk rådgivning.

Hvem der er tale om

NIS 2-loven definerer de tre typer i § 3, nr. 23 til 25. En onlinemarkedsplads er en tjeneste, hvor software drevet af eller på vegne af den erhvervsdrivende giver forbrugere mulighed for at indgå fjernsalgsaftaler med andre erhvervsdrivende eller forbrugere. En onlinesøgemaskine lader brugerne søge på principielt alle websteder eller alle websteder på et bestemt sprog. En platform for sociale netværkstjenester sætter slutbrugere i stand til at komme i forbindelse med hinanden, navnlig via chats, opslag, videoer og anbefalinger.

Definitionerne er snævrere, end ordene kan lyde. En webshop, der kun sælger egne varer, er ikke nødvendigvis en markedsplads. Det er kundens egen vurdering, om den er omfattet, og I bør ikke selv sætte etiketten på. → Bilag 1 og 2

Myndighed og jurisdiktion

Bekendtgørelse nr. 620 af 2. juni 2025 udpeger i § 6, nr. 3, Digitaliseringsstyrelsen som kompetent myndighed for de tre typer. Digitaliseringsstyrelsen skriver på sin side om kravene, at de omfattede digitale udbydere skal følge forordningen i stedet for lovens generelle krav til foranstaltninger og hændelsesrapportering, og at hele enheden er omfattet, også hvis tjenesten kun er en mindre aktivitet.

For disse udbydere afgøres jurisdiktionen af hovedforretningsstedet. Efter NIS 2-lovens § 2, stk. 2 og 3, hører de under dansk jurisdiktion, hvis de har hovedforretningssted i Danmark, og det er som udgangspunkt der, hvor beslutningerne om cybersikkerhedsforanstaltningerne overvejende træffes. En platform med kontor i Danmark kan derfor høre under et andet lands myndighed, og omvendt. → Kunder i flere EU-lande

Forordningens krav til kontrakter med jer

Bilagets punkt 5.1.4 beskriver, hvad den omfattede kunde skal sikre, at kontrakterne med leverandører og tjenesteudbydere angiver, hvor det er relevant. Fire af litraerne har betydning for testen:

Litra d · pligt til uden unødig forsinkelse at underrette kunden om hændelser, der udgør en risiko for kundens systemer.
Litra e · kundens ret til audit eller til at modtage auditrapporter.
Litra f · pligt til at håndtere sårbarheder, der udgør en risiko for kundens systemer.
Litra g · krav om underentreprise og cybersikkerhedskrav til jeres egne underleverandører.

Efter punkt 5.1.6 og 5.1.7 skal kunden desuden følge op på leverandørernes sikkerhedspraksis med planlagte mellemrum og ved væsentlige ændringer. Punkt 5.2 kræver et register over direkte leverandører med de produkter og tjenester, hver leverer. Det er grunden til, at kunden kan bede om en beskrivelse af præcis, hvad I leverer. → Leverandørregister

Kundens egen test og jeres andel

Bilagets punkt 6.5 handler om sikkerhedstest hos kunden selv. Efter punkt 6.5.2 skal kunden ud fra sin risikovurdering fastlægge behov, omfang, hyppighed og type af test, teste efter en dokumenteret metode, dokumentere type, omfang, tid og resultater med en vurdering af hvert fund og afbøde alvorlige fund.

Er jeres leverance en del af platformen, kan kunden have brug for, at jeres dokumentation passer ind i samme form. Det gælder fx:

Integrationer · betalingsforbindelser, fragt, kundeservice eller analyse, som platformen er koblet til.
Grænseflader til sælgere eller brugere · API’er og moduler, I har udviklet eller drifter.
Moderering og indholdsværktøjer · systemer med adgang til brugernes indhold.
Drift og hosting · den infrastruktur, platformen kører på.

Brug de fire oplysninger fra punkt 6.5.2, litra c, som skelet i jeres egen dokumentation. Så kan kunden lægge den ved siden af sin egen uden at omskrive. → Fire oplysninger om testen

Når I selv hører til samme kreds

Leverer I hosting, cloud eller drift til platformen, kan I selv være en af de digitale udbydere, forordningen gælder for. Udbydere af cloudcomputingtjenester, datacentertjenester og administrerede tjenester står i forordningens artikel 1 side om side med markedspladserne. I så fald har I jeres egne pligter efter bilaget, herunder punkt 6.5 om sikkerhedstest, og efter lovens § 9 om registrering.

Det kan gøre arbejdet lettere. Den test, I alligevel skal gennemføre og dokumentere for jeres egen skyld, kan afgrænses, så den også dækker det, platformen spørger om. Forudsætningen er, at omfanget tydeligt viser, hvilke dele af jeres tjenester platformen bruger. → Selv omfattet eller kun kunden?

Et tænkt eksempel

Et udviklingsbureau leverer og vedligeholder sælgermodulet til en dansk markedsplads, hvor private og forhandlere sælger brugte varer. Markedspladsen sender et kravbilag med henvisning til forordningens punkt 5.1.4 og 6.5 og beder om en årlig test af modulet og dets API, besked om hændelser og et overblik over bureauets egne underleverandører.

Bureauet afgrænser testen til modulet, API’et og den adgang, bureauets udviklere har til produktionen. Rapporten følger de fire oplysninger fra punkt 6.5.2, litra c, og bureauet vedlægger en liste over sine underleverandører til den del af leverancen. → API, kunden bruger

Det skal I lade være med

At henvise til NIS 2-lovens § 6 over for en omfattet platform · kunden følger forordningens bilag.
At kalde enhver webshop en markedsplads · definitionen i § 3, nr. 23, er snævrere.
At gå ud fra, at kunden hører under dansk tilsyn · hovedforretningsstedet afgør det.
At afvise retten til audit uden alternativ · litra e åbner også for at aflevere auditrapporter.
At glemme jeres egne underleverandører · litra g kan gøre dem til en del af kravet.

Hvad kan og ikke kan konkluderes

Forordningen viser, hvad en omfattet platform skal have i kontrakten med jer, og hvordan den selv skal teste. Den siger ikke, hvor ofte netop jeres leverance skal testes, fordi det følger af kundens risikovurdering. Jeres dokumentation kan vise, hvad der blev testet, og hvordan fund er håndteret. Den kan ikke vise, at kunden lever op til forordningen. → Ret til revision

Tjekliste til leverandører til digitale platforme

☐ Har kunden oplyst, om den er omfattet som markedsplads, søgemaskine eller social platform?
☐ Ved I, hvilket lands myndighed kunden hører under?
☐ Er punkterne fra bilagets 5.1.4, litra d til g, afspejlet i aftalen?
☐ Er det beskrevet, hvad I leverer, så kunden kan føre sit register?
☐ Følger jeres testdokumentation de fire oplysninger i punkt 6.5.2, litra c?
☐ Har I overblik over egne underleverandører til leverancen?