Leverandør til fremstillingsvirksomheder: maskiner, elektronik og køretøjer

En fabrik, der producerer elektronik, elektrisk udstyr, maskiner eller køretøjer, kan være omfattet af NIS 2-loven, og kravet kan gå videre til dem, der leverer maskiner, styringer, software og drift. Leverandøren møder derfor spørgsmål om test fra en kunde, der måske ikke selv har arbejdet med NIS2 længe. Svaret hviler på lovens bilag 2, pkt. 5, der nævner delsektorerne under fremstilling, og på bekendtgørelse nr. 620 af 2. juni 2025, der gør Styrelsen for Samfundssikkerhed (SAMSIK) til kompetent myndighed for de fleste af dem.

Det følgende handler om leverandørens side: hvad kunden kan spørge til, og hvad en test kan dække. Teksten er ikke juridisk rådgivning.

Hvilke fabrikker det gælder

Bilag 2, pkt. 5, deler fremstilling op i delsektorer. Litra b til f nævner fremstilling af computere og elektroniske og optiske produkter, elektrisk udstyr, maskiner og udstyr, motorkøretøjer, påhængsvogne og sættevogne samt andre transportmidler. Typen er defineret ved hovedgrupper i den europæiske erhvervsklassifikation NACE Rev. 2, så det er kundens økonomiske aktivitet, der afgør, om kunden hører til.

Litra a, fremstilling af medicinsk udstyr, er en del af samme punkt, men har Sundhedsdatastyrelsen som myndighed og behandles for sig. → Leverandør til producenter af medicinsk udstyr

Det er ikke alle fabrikker i delsektorerne, der er omfattet. Lovens § 5 gør enheder i bilag 1 og 2 til vigtige enheder, hvis de har mindst 50 ansatte eller både omsætning og balance over lovens grænser, og § 4 har særlige regler for væsentlige enheder. Spørg kunden, om den er registreret, frem for at gætte. → Væsentlige og vigtige enheder

SAMSIK som myndighed

Bekendtgørelse nr. 620, § 12, nr. 4 til 7, gør SAMSIK til kompetent myndighed for delsektorerne i bilag 2, pkt. 5, litra b til f. Det betyder, at kunden kan skrive sine krav ud fra SAMSIK’s vejledninger om anvendelsesområdet og om foranstaltninger.

Vejledningen om foranstaltninger har i afsnit 4 et eksempel om forsyningskædesikkerhed hos en virksomhed med automatiseret produktion. Eksemplets spørgsmål handler bl.a. om leverandører af produktionsudstyr og om, hvordan opdateringer fra leverandører håndteres. Det er en god indikation af, hvad en fabrik under SAMSIK kan spørge til. → Opdateringskanalen

Er kunden en vigtig enhed, fører myndigheden efter lovens § 24 reaktivt tilsyn, som sker efter indikationer på, at loven ikke overholdes. Det ændrer ikke kundens pligter efter § 6, men det kan påvirke, hvordan kunden prioriterer dokumentationen. → SAMSIK og NIS2

Tre slags leverandører til en fabrik

Leverandører til en fabrik kan have meget forskellige leverancer. Tre typer går igen i kundens spørgsmål:

Maskin- og anlægsleverandøren · leverer udstyr med styring og har eventuelt fjernadgang til service og fejlsøgning. → Fjernovervågning af anlæg
Softwareleverandøren · leverer systemer til planlægning, produktion, kvalitet eller lager, som forbinder kontornettet og produktionen.
Drifts- og integrationsleverandøren · driver servere og net, eller sætter forbindelsen mellem kontor og produktion op.

Hver type har sit eget svar. Maskinleverandøren svarer om udstyret og serviceadgangen, softwareleverandøren om systemet og dets forbindelser, og driftsleverandøren om adgangen til kundens miljø og om adskillelsen mellem net. Er I flere af typerne på én gang, fx en maskinleverandør, der også leverer software og står for fjernservice, så del svaret op efter de tre roller. Det gør det lettere for kunden at se, hvilke dele testen dækker, og hvilke der bliver dokumenteret på anden måde.

Testen skal tage hensyn til produktionen

En test hos en fabrik kan ramme udstyr, der styrer en produktion i gang. SAMSIK’s vejledning om foranstaltninger gør i afsnit 5.b opmærksom på, at aktive scanninger af OT-miljøer kan medføre forstyrrelser eller nedetid, og nævner passiv overvågning og gennemgang af konfigurationer som alternativer. For leverandøren betyder det, at testen kan lægges på grænsen mod anlægget, på jeres fjernadgang og på et testmiljø, frem for på det kørende udstyr.

Hvordan en test af produktionsudstyr kan tilrettelægges, er beskrevet særskilt. → Produktionsudstyr og OT

Hvad kunden kan få at se

En fabrik, der skal vurdere sine leverandører, har brug for svar, der kan sammenlignes. Det hjælper kunden, hvis jeres svar følger leverancens dele og ikke jeres interne organisering. Et svar kan beskrive:

Hvad der er leveret · udstyr, software eller drift, og hvor det sidder i kundens miljø.
Hvordan I har adgang · om I har fjernadgang, hvordan den åbnes, og hvem hos jer der bruger den.
Hvad der er testet · hvilke dele der var med i den seneste test, og hvilke der ikke var.
Hvordan rettelser når frem · hvordan kunden får besked om sårbarheder og opdateringer til udstyr, der står i mange år.

Det sidste punkt kan ikke dækkes af en test. Det handler om jeres plan for vedligeholdelse, og kunden kan bede om den i aftalen. → Leverede produkter

Et tænkt eksempel

En leverandør af automatiske lagersystemer har udstyr hos en fabrik, der fremstiller elektrisk udstyr. Fabrikken er registreret som vigtig enhed og sender et spørgeskema med spørgsmål om fjernadgang, opdateringer og test. Leverandøren har fjernadgang til lagersystemets styring gennem en fælles serviceløsning, men har aldrig fået den testet. Leverandøren lader serviceløsningen og sin egen adgang teste i et testmiljø med en tilsvarende styring og giver fabrikken et resumé. Fabrikkens eget net mellem kontor og produktion er ikke med, fordi det ejes af kunden. Resuméet siger det tydeligt, så fabrikken selv kan tage stilling til, om den del skal testes.

Det skal I lade være med

At antage, at alle fabrikker er omfattet · delsektor og størrelse afgør det.
At teste aktivt på udstyr i drift uden aftale · produktionen er kundens.
At svare om maskinen, når kunden spørger om fjernadgangen · det er adgangen, kunden er bekymret for.
At glemme serviceløsningen · den kan række til flere kunder end den, der spørger.
At henvise til NIS2 uden at kende kundens myndighed · SAMSIK og Sundhedsdatastyrelsen kan have forskellige vejledninger.

Hvad kan og ikke kan konkluderes

En test af jeres adgang, jeres software og grænsen mod anlægget kan vise kunden, hvad der var muligt på testtidspunktet, og hvor I har rettet. Den kan ikke vise, at udstyret i drift er sikkert, hvis det ikke var med, og den afgør ikke, om kunden lever op til loven. Kunden vurderer selv dokumentationen ud fra sin risiko.