Leverandør til forsvaret og forsvarsindustrien: hvornår NIS2 gælder, og hvornår andre regler gør

Leverer I it, software, udstyr eller drift til forsvaret eller til en virksomhed i forsvarsindustrien, kan I få sikkerhedskrav, der ligner NIS2-krav. Grundlaget er ikke altid det samme. Forsvaret selv er undtaget fra NIS 2-loven, mens en forsvarsvirksomhed kan være omfattet som producent, og klassificeret arbejde for forsvaret følger forsvarets egne regler om sikkerhedsgodkendelse.

Siden skiller de tre spor ad, så I kan se, hvilket kravet til jer bygger på. Teksten er ikke juridisk rådgivning.

Forsvaret selv er uden for NIS 2-loven

NIS 2-lovens § 1, stk. 4, siger, at loven ikke gælder for offentlige forvaltningsenheder, der udfører deres aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse. Forsvaret og de myndigheder, der hører under det, er altså ikke omfattede enheder. Styrelsen for Samfundssikkerhed skriver det samme i sin vejledning om lovens anvendelsesområde.

Det betyder ikke, at forsvaret stiller færre krav. Det betyder, at kravene til jer ikke bygger på NIS 2-lovens § 6 om forsyningskædesikkerhed, men på kontrakten og på forsvarets egne sikkerhedsregler. En henvisning til NIS2 i et kravbilag fra en forsvarsmyndighed er derfor et lån af sprog, ikke en lovpligt for myndigheden. → Direktiv, lov og forordning

Når I kun leverer til forsvaret

§ 1, stk. 5, går et skridt videre. Vedkommende minister kan træffe afgørelse om at undtage specifikke enheder fra en række af lovens pligter, hvis de udfører aktiviteter inden for de samme områder, eller hvis de udelukkende leverer tjenester til offentlige forvaltningsenheder, der udfører disse aktiviteter. Det gælder pligterne i §§ 6, 8, 12, 13, 15 og 16 for de pågældende aktiviteter eller tjenester.

Fritagelsen kommer ikke af sig selv. Den kræver en afgørelse om den enkelte enhed. Er I selv omfattet af loven, fx som driftsleverandør, og leverer I både til forsvaret og til andre kunder, gælder lovens pligter for de andre leverancer. → Er vi selv omfattet af NIS2?

Forsvarsindustrien kan være omfattet som producent

Forsvarsindustri er ikke en sektor i lovens bilag. En forsvarsvirksomhed kan alligevel være omfattet, hvis den hører til en af de typer, bilagene nævner. Bilag 2, punkt 5, om fremstilling henviser til hovedgrupperne 26 til 30 i den europæiske branchenomenklatur NACE Rev. 2: computere, elektroniske og optiske produkter, elektrisk udstyr, maskiner, motorkøretøjer og andre transportmidler. Militære kampkøretøjer hører under gruppe 30, mens fremstilling af våben og ammunition hører under gruppe 25, som bilaget ikke nævner.

En producent af radarer, kommunikationsudstyr eller militærkøretøjer kan altså være omfattet, hvis den også opfylder størrelseskriterierne i § 5, mens en ammunitionsfabrik ikke er det alene på grund af sin branche. Bilag 2 gør som udgangspunkt virksomheden til vigtig enhed. → Leverandør til fremstillingsvirksomheder

Er jeres kunde sådan en producent, bygger kravet til jer på lovens § 6, stk. 1, nr. 4, om forsyningskædesikkerhed, præcis som hos andre NIS2-kunder. Arbejder producenten samtidig med klassificerede opgaver for forsvaret, kan den have to sæt krav at sende videre: NIS2-kravene til alle leverandører og forsvarets regler til de leverandører, der kommer i berøring med det klassificerede.

Forsvarets egne krav: sikkerhedsgodkendelse

Skal en virksomhed udføre sikkerhedsmæssigt klassificeret arbejde for forsvaret og opbevare klassificerede informationer, skal den være sikkerhedsgodkendt af Forsvarets Efterretningstjeneste. Det fremgår af FE’s vejledning om virksomhedssikkerhed fra juli 2026. Leverer virksomheden kun konsulentarbejde, og befinder informationerne sig hos myndigheden, sikkerhedsgodkendes de medarbejdere, der skal have adgang.

Vejledningen bruger fire klassifikationsgrader: TIL TJENESTEBRUG, FORTROLIGT, HEMMELIGT og YDERST HEMMELIGT, med tilsvarende grader for NATO og EU. En virksomhed indstilles til godkendelse af bl.a. Forsvarsministeriet, Forsvarskommandoen, Hjemmeværnskommandoen eller Forsvarsministeriets Materiel- og Indkøbsstyrelse, og en godkendt virksomhed kan indstille sine underleverandører. Godkendelsen gælder i to til fire år afhængigt af klassifikationsgraden. Klassificerede informationer må ikke udleveres til en virksomhed, før den er godkendt, dog med en undtagelse for materiale klassificeret TIL TJENESTEBRUG i udbudsfasen.

Vejledningen stiller også krav, der ligner dem, NIS2-kunder stiller. Virksomheder, der arbejder for forsvaret, skal have et ledelsessystem for informationssikkerhed efter ISO/IEC 27001 eller en anden relevant standard, og risikovurderinger skal ajourføres under arbejdet. Sikkerhedsgodkendte virksomheder har ansvaret for, at deres underleverandører er godkendt til den nødvendige klassifikationsgrad. → Krav til egne underleverandører

Hvad det betyder for en test

Systemer, der behandler klassificerede informationer, må efter vejledningen ikke forbindes til andre systemer uden godkendelse fra FE, og kun sikkerhedsgodkendte medarbejdere med et arbejdsbetinget behov må få adgang til dem. En test, der berører sådanne systemer, skal derfor aftales med kunden og den ansvarlige myndighed, før den planlægges, og testerne kan skulle være sikkerhedsgodkendt.

Det er lettere at holde den ikke-klassificerede del af leverancen for sig. En test af jeres supportadgang, portal eller integration kan gennemføres som hos andre kunder og kan også bruges over for jeres NIS2-kunder. Vær opmærksom på, hvad rapporten nævner: FE henstiller til, at en virksomhed ikke reklamerer med sin sikkerhedsgodkendelse, og at oplysninger om den kun deles med relevante parter. → Afgrænsning mod kundens eget miljø

Et tænkt eksempel

En virksomhed med 120 ansatte udvikler software til vedligeholdelse af køretøjer. Kunderne er en kommune, en producent af militærkøretøjer og en forsvarsmyndighed. Kommunen henviser til NIS 2-lovens § 6. Producenten er vigtig enhed under bilag 2, punkt 5, og henviser til det samme. Forsvarsmyndigheden henviser til kontrakten og til FE’s regler, fordi en del af arbejdet er klassificeret.

Virksomheden laver én test af den ikke-klassificerede platform og bruger den over for alle tre. Resuméet til kommunen og producenten henviser til lovens § 6, mens resuméet til forsvarsmyndigheden henviser til kontraktens krav og ikke nævner virksomhedens sikkerhedsgodkendelse. Den klassificerede del aftales særskilt med forsvarsmyndigheden, og kun sikkerhedsgodkendte medarbejdere arbejder med den.

Det skal I lade være med

At gå ud fra, at forsvaret stiller NIS2-krav · forsvaret er undtaget fra loven og har sine egne regler.
At kalde al forsvarsindustri NIS2-omfattet · det afhænger af branchekode og størrelse.
At teste klassificerede systemer uden aftale med myndigheden · forbindelser kræver FE’s godkendelse.
At nævne en sikkerhedsgodkendelse i materiale, der deles bredt · FE henstiller til, at den kun deles med relevante parter.
At gå ud fra, at en fritagelse efter § 1, stk. 5, gælder jer · den kræver en afgørelse.

Hvad kan og ikke kan konkluderes

Loven viser, at forsvaret er undtaget, og at forsvarsindustrien kan være omfattet gennem fremstillingssektoren. FE’s vejledning viser, hvad klassificeret arbejde kræver af en leverandør. Ingen af dem afgør, hvad netop jeres kontrakt skal indeholde, eller om jeres kunde er omfattet. Det kræver en konkret vurdering af kunden og af aftalen.