Leverandør til forskningsinstitutioner: hvem stiller kravet, og på hvilket grundlag?

Leverer I software, dataplatforme, laboratorieudstyr med fjernsupport eller drift til et forskningsmiljø, kan I få et krav om sikkerhedstest med henvisning til NIS2. Om kravet hviler på NIS 2-loven, afhænger af, hvilken slags forskningsinstitution kunden er. Loven nævner forskningsorganisationer i bilag 2, punkt 7, og definerer dem snævert i § 3, nr. 11: en enhed, hvis primære mål er anvendt forskning eller udvikling med henblik på at udnytte resultaterne kommercielt. Uddannelsesinstitutioner er udtrykkeligt ikke med i definitionen.

Det første, I bør afklare, er derfor, om kunden selv er omfattet, eller om kravet er kundens egen politik. Begge dele kan være helt legitime, men de giver forskellige rammer for, hvad I kan forhandle om. Teksten er ikke juridisk rådgivning.

Forskningsorganisation eller uddannelsesinstitution

Definitionen i § 3, nr. 11, trækker en grænse, som har praktisk betydning for leverandører. Et institut, der udvikler og afprøver teknologi med kommercielt sigte, kan falde ind under bilag 2. Et universitet eller en anden uddannelsesinstitution falder uden for definitionen, også selv om den driver omfattende forskning.

Uddannelsesinstitutioner kan dog blive omfattet ad en anden vej. Efter § 1, stk. 7, kan vedkommende minister efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte regler om, at loven helt eller delvis også gælder for uddannelsesinstitutioner. Om sådanne regler gælder for en bestemt kunde, må kunden selv oplyse. I bør ikke gå ud fra det ene eller det andet. → Bilag 1 og 2: kundens sektor afgør, hvilke regler kravet bygger på

Myndigheden bag kunden

Bekendtgørelse nr. 620 af 2. juni 2025 udpeger i § 9, nr. 2, Uddannelses- og Forskningsstyrelsen som kompetent myndighed for enheder i sektoren for forskning. Samme paragraf giver styrelsen rummet efter bilag 1, punkt 11, bortset fra de styrelser og institutioner, som § 10 henlægger til Klimadatastyrelsen.

For jer betyder det, at det er Uddannelses- og Forskningsstyrelsen, kunden kan skulle vise sin leverandørstyring til, hvis kunden er omfattet. Registrering og underretning sker efter bekendtgørelsens § 14 via en selvbetjeningsløsning på Virk.dk. Det er kundens opgave, ikke jeres, men det forklarer, hvorfor kunden kan bede om dokumentation i en form, der kan vises videre. → Hvem fører tilsyn med jeres kunde?

Vigtig enhed som udgangspunkt

Bilag 2 hedder andre kritiske sektorer. Efter § 4, stk. 1, er det kun typer i bilag 1, der kan blive væsentlige enheder alene på grund af størrelse. En forskningsorganisation, der opfylder størrelseskriterierne i § 5, er derfor som udgangspunkt en vigtig enhed, medmindre den efter § 4, stk. 3, anses for væsentlig af andre grunde.

Forskellen har betydning for tilsynet. Efter § 24 sker tilsynet med vigtige enheder reaktivt, altså når der er indikationer på, at reglerne ikke er overholdt. Kravet til jer er det samme efter § 6, stk. 1, nr. 4, om forsyningskædesikkerhed, men kunden har måske ikke samme behov for at have alt klar på forhånd som en væsentlig enhed. Det kan give plads til en dialog om omfang og tidspunkt. → Væsentlige og vigtige enheder

Spørgsmål, der afklarer grundlaget

Et kort sæt spørgsmål til kunden kan spare en runde med misforståelser. Spørg, om kunden har registreret sig som omfattet enhed, og i givet fald i hvilken sektor. Spørg, hvilken bestemmelse eller hvilket afsnit i kundens politik kravet til jer udspringer af. Og spørg, om kunden forventer en bestemt form, fx et resumé, en erklæring fra testeren eller hele rapporten.

Svarene afgør ikke, om I skal teste. Det gør aftalen. Men de afgør, hvordan dokumentationen skal skrives, så kunden kan bruge den. En kunde, der skal kunne vise sin myndighed leverandørstyringen, har brug for dato, omfang og status på rettelser. En kunde, der følger sin egen politik, kan nøjes med mindre, hvis politikken siger det. → Fire oplysninger om testen

Det, kunden er afhængig af hos jer

Uanset retsgrundlaget giver det mening at tage udgangspunkt i det, kunden faktisk er afhængig af. For en leverandør til et forskningsmiljø kan det være:

Fjernsupport til instrumenter · den forbindelse, jeres teknikere bruger til at vedligeholde udstyr hos kunden.
Platforme til forskningsdata · lagring, deling og adgangsstyring, som I drifter eller leverer.
Adgang for eksterne partnere · funktioner i jeres løsning, som kunden bruger til at åbne for samarbejdspartnere.
Integrationer · forbindelser mellem jeres system og kundens øvrige systemer.
Opdateringer · den vej, nye versioner og rettelser kommer ind ad.

En test, der dækker de punkter, kan bruges over for flere kunder, uanset om de er omfattet af loven eller ej. Det er afgrænsningen, der gør resultatet brugbart. → Supportadgang: test af den vej, I kommer ind hos kunden

Et tænkt eksempel

En virksomhed leverer et system til styring af prøver og måledata. Kunderne er et anvendt forskningsinstitut og to universiteter. Instituttet sender et kravbilag, der henviser til NIS 2-lovens § 6 og beder om dokumentation for en uafhængig test af den del af systemet, instituttet bruger. Det ene universitet beder om det samme med henvisning til sin egen informationssikkerhedspolitik. Det andet stiller ingen krav.

Virksomheden vælger én test af den fælles platform og supportadgangen og laver et resumé til hver kunde. Over for instituttet henviser resuméet til kravbilaget. Over for universitetet henviser det til politikken. Indholdet er det samme, men henvisningen passer til det grundlag, kunden har givet. → Kundespecifik eller fælles test

Det skal I lade være med

At kalde alle forskningskunder NIS2-omfattede · definitionen udelukker uddannelsesinstitutioner.
At afvise et krav, fordi kunden ikke er omfattet · kunden kan stille krav efter egen politik og aftale.
At gætte på, om der er fastsat regler efter § 1, stk. 7 · spørg kunden, hvad kravet bygger på.
At teste med kundens rigtige forskningsdata uden aftale · brug testdata, eller aftal håndteringen skriftligt.
At lade henvisningen til loven stå i aftalen uden at kende den · bed om bestemmelsen.

Hvad kan og ikke kan konkluderes

Loven og bekendtgørelsen viser, hvilken type forskningskunde der er omfattet, og hvilken myndighed der fører tilsyn. De afgør ikke, om netop jeres kunde er omfattet. Det er kundens egen vurdering. En test af jeres leverance kan belyse, om de dele, kunden er afhængig af, er sikret. Den kan ikke vise, at kunden overholder loven, og den erstatter ikke kundens egen risikovurdering. → Proportionalitet i kravet

Tjekliste til jer som leverandør til forskningsmiljøer

☐ Ved I, om kunden er en forskningsorganisation efter § 3, nr. 11, eller en uddannelsesinstitution?
☐ Har kunden oplyst, hvilket grundlag kravet hviler på?
☐ Er det afklaret, hvilke dele af jeres leverance kunden er afhængig af?
☐ Er håndteringen af kundens data under testen aftalt?
☐ Kan resultatet bruges over for flere kunder med hver sin henvisning?
☐ Er det klart, hvem hos kunden der modtager resuméet?