Leverandør til energisektoren: når kunden er omfattet af energiberedskabsloven

Et elselskab, et fjernvarmeværk eller en gasoperatør kan sende et krav om sikkerhedstest, der nævner NIS2, men kundens egne regler står muligvis et andet sted. NIS 2-lovens § 1, stk. 2, siger, at loven ikke gælder for enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren. For leverandøren betyder det, at kravet kan hvile på energiloven, lov nr. 258 af 6. marts 2025, og på bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren. De to tekster har egne regler om leverandører, fjernadgang og test.

Gengivelsen er forenklet og bygger på teksterne, som de er offentliggjort. Tjek den gældende version på retsinformation.dk, før I bygger et svar på den. Teksten er ikke juridisk rådgivning.

Hvem energiloven gælder for

Energilovens § 2 opregner de typer virksomheder, loven gælder for, bl.a. elektricitetsvirksomheder, distributions- og transmissionssystemoperatører, elproducenter, operatører af ladepunkter, fjernvarme og fjernkøling, olie, gas, brint og tankstationer. For mindre virksomheder gælder loven kun, hvis de opfylder særlige betingelser i § 2, stk. 2. Det er kundens opgave at afklare, om kunden er omfattet. For jer er det nok at vide, hvilke regler kunden selv henviser til, så I kan læse kravet i den rigtige sammenhæng og svare med de rigtige begreber.

Ordene “i det omfang” i NIS 2-lovens § 1, stk. 2, betyder, at en kunde kan have aktiviteter under energiloven og andre aktiviteter, der stadig hører under NIS 2-loven. Hvilken del af kundens forretning jeres leverance understøtter, er derfor et rimeligt spørgsmål at stille. → Energi, tele og finans

Ladestationer til elbiler. NIS 2-lovens bilag 1 nævner operatører af ladestationer, men i Danmark står de i energilovens § 2, stk. 1, nr. 7, som operatører af ladepunkter. En operatør under størrelsesgrænserne i § 2, stk. 2, er kun omfattet, hvis den driver ladepunkter med en samlet kapacitet på 25 MW eller derover. Leverer I backend, betalingsløsning eller fjernstyring af ladere, er det derfor energiloven og bekendtgørelsen, kravet til jer kan bygge på.

Hvad bekendtgørelsen siger om leverandører

Bekendtgørelse nr. 260 er udstedt af Energistyrelsen i medfør af energiloven. Kapitel 8 om leverandørstyring og forsyningskædesikkerhed indeholder de bestemmelser, der rammer leverandører mest direkte:

§ 29 · virksomheden skal have procedurer for forsyningskædesikkerhed, herunder metoder til at vurdere modstandsdygtigheden af leverede produkter og tjenester.
§ 30 · aftaler med direkte leverandører og tjenesteudbydere, der kan påvirke forsyningssikkerheden eller sikkerheden i virksomhedens systemer, skal bl.a. sikre krav til passende foranstaltninger, besked om væsentlige hændelser, at leverandøren kan inddrages i Energistyrelsens tilsyn, og at direkte leverandører i passende omfang indgår i virksomhedens øvelser.
§ 31 · virksomheden skal have procedurer for styring af direkte leverandørers fjernadgang til forsyningskritiske systemer, og procedurerne skal fremgå af leverandøraftalen.
§ 32, stk. 2 · direkte leverandører og tjenesteudbydere skal over for virksomheden kunne dokumentere, at de overholder de krav, der stilles i leverandøraftalen.

Det sidste punkt er grunden til, at kunden beder om dokumentation. Kravet til jer står i aftalen, men kunden har en pligt til at kunne se, at det bliver overholdt. → Forsyningskædesikkerhed

Test og fjernadgang i bekendtgørelsen

Bekendtgørelsens § 71 kræver, at virksomheden har en politik og procedurer for vurdering af effektiviteten af sine foranstaltninger og for vurdering af behovet for tekniske sikkerhedsscanninger, fx sårbarhedsscanninger og penetrationstests. Ordlyden svarer til det, NIS 2-lovens § 6, stk. 1, nr. 6, og SAMSIK’s vejledning beskriver for andre sektorer. Kunden kan derfor have et testprogram, som jeres leverance indgår i. → Effektivitet af foranstaltninger

§ 55, stk. 2, siger, at fjernadgange til forsyningskritiske systemer skal tildeles i en tidsbegrænset periode, så de kun er åbne, når der er et godkendt arbejdsbetinget behov. For en leverandør med fjernservice er det et konkret punkt, en test kan belyse: om adgangen faktisk er lukket, når den ikke bruges. → Jeres supportadgang til kunden

Energiloven giver desuden i § 19, stk. 2, nr. 4, ministeriet adgang til at foretage sikkerhedsscanninger af virksomhedernes systemer som led i tilsynet. Det er myndighedens værktøj over for kunden, ikke et krav til jer.

Hændelser, rapportering og øvelser

Bekendtgørelsens § 30 rækker ud over test. Efter nr. 2 og 3 skal aftalen sikre, at virksomheden underrettes om væsentlige hændelser hos leverandøren, der vedrører de leverede produkter og tjenester, og at leverandøren bistår virksomheden med dens egen rapportering. Efter nr. 5 skal direkte leverandører i passende omfang deltage i virksomhedens øvelser.

For leverandøren hænger det sammen med testen på to måder. Et alvorligt fund i en test af jeres leverance kan være noget, kunden skal kende til, selv om det ikke er en hændelse. Og en øvelse hos kunden kan afprøve, om jeres kontaktveje og jeres hjælp virker, når der er brug for dem. Aftal, hvem hos jer der deltager, og hvad I skal kunne levere undervejs, fx oplysninger om jeres adgang og logs fra jeres side. → Besked om hændelser

Hvad testen kan dække hos en energikunde

Testen bør følge det, kunden er afhængig af, og det, aftalen kræver. Tre dele er nærliggende:

Fjernadgangen · hvem hos jer der kan bruge den, hvordan den åbnes og lukkes, og hvad den giver adgang til.
Jeres egne systemer · de konti, værktøjer og servere, som adgangen udgår fra.
Det leverede · software eller udstyr, som kunden bruger i sin drift, testet i et testmiljø, når det er muligt.

Driftsanlæg hos kunden testes kun efter særskilt aftale og med en driftsansvarlig fra kunden. → Produktionsudstyr og OT

Et tænkt eksempel

En leverandør af software til styring af varmeproduktion har fjernadgang til et fjernvarmeværk for at kunne hjælpe med fejl. Værket sender et nyt sikkerhedsbilag, der henviser til energiloven og bekendtgørelsen og kræver, at fjernadgangen kun er åben efter aftale, og at leverandøren kan dokumentere det. Leverandøren lader sin fjernadgangsløsning teste med fokus på, om adgangen kan bruges uden for de aftalte tidsrum, og sender værket et resumé med resultatet og de ændringer, der er lavet.

Det skal I lade være med

At svare med NIS 2-lovens paragraffer · kundens krav kan bygge på energiloven og bekendtgørelsen.
At lade fjernadgangen stå åben hele tiden · bekendtgørelsen kræver tidsbegrænsning for forsyningskritiske systemer.
At teste kundens driftsanlæg uden aftale · forsyningen er kundens ansvar.
At overse kravet om øvelser · aftalen kan forpligte jer til at deltage.
At bygge på en gammel version af reglerne · tjek, at bekendtgørelsen stadig gælder.

Hvad kan og ikke kan konkluderes

En test af jeres fjernadgang og jeres leverance kan give kunden dokumentation for, at de krav, aftalen stiller, blev afprøvet på testtidspunktet. Den afgør ikke, om kunden overholder energiloven, og den erstatter ikke kundens egne vurderinger. Hvilke regler der præcist gælder for kunden, er kundens afklaring.