Leverandør til kemikalievirksomheder

En virksomhed, der fremstiller eller distribuerer kemikalier, kan sende sine leverandører et krav om sikkerhedstest med henvisning til NIS2. Leverer I processtyring, laboratoriesystemer, lagerstyring eller almindelig drift til sådan en kunde, er det nyttigt at vide, hvor bredt sektoren er defineret, og hvilken vejledning kunden læser. Grundlaget er bilag 2, punkt 3, i NIS 2-loven, bekendtgørelse nr. 620 af 2. juni 2025, § 12, nr. 3, og den tværgående vejledning om foranstaltninger fra Styrelsen for Samfundssikkerhed.

Kort sagt er sektoren bredere end de store kemiske fabrikker, og kunden har ingen særlig sektorvejledning at læne sig op ad. Kravet til jer bygger derfor på den generelle vejledning og kundens egen risikovurdering. Teksten er ikke juridisk rådgivning.

Hvem kunden er efter loven

Bilag 2, punkt 3, omfatter virksomheder, der fremstiller stoffer eller distribuerer stoffer eller blandinger, og virksomheder, der producerer artikler ud af stoffer eller blandinger. Begreberne er defineret ved henvisning til forordning (EF) nr. 1907/2006, den europæiske kemikalieforordning. Formuleringen omfatter altså både fremstilling, distribution og produktion af artikler, og som i resten af loven skal virksomheden også opfylde størrelseskriterierne.

Sektoren står i bilag 2. Efter lovens § 4, stk. 1, gælder den størrelsesbaserede status som væsentlig enhed kun for bilag 1, så en kemikunde vil som udgangspunkt være vigtig enhed efter § 5, medmindre § 4, stk. 3, gør den væsentlig. Det er kundens egen vurdering, hvor den står, og I bør spørge til den frem for at læse bilaget selv. → Bilag 1 og 2

Myndigheden og vejledningen

Efter bekendtgørelsens § 12, nr. 3, er Styrelsen for Samfundssikkerhed kompetent myndighed for sektoren. Styrelsens oversigt over vejledninger rummer sektorspecifikke vejledninger til kommuner og til den centrale forvaltning, men ingen til kemikaliesektoren. Kunden arbejder derfor ud fra de tværgående vejledninger, særligt vejledningen om foranstaltninger fra juni 2025.

For jer er det en fordel. Den tværgående vejledning er offentlig, og I kan læse præcis de afsnit, kunden bygger på. Bed kunden om at pege på det afsnit, kravet stammer fra, så I svarer på det og ikke på hele vejledningen. → Styrelsen for Samfundssikkerhed og NIS2

Hvad vejledningen siger om test og leverandører

Vejledningen gengiver lovbemærkningerne til § 6, stk. 1, nr. 6. Enheden skal have en politik og procedurer for at vurdere, om foranstaltningerne virker, og for at vurdere behovet for tekniske test, fx sårbarhedsscanninger eller penetrationstest. Testen er altså noget, kunden skal tage stilling til, ikke noget, loven kræver i en bestemt form. → SAMSIK’s vejledning om tekniske test

Om forsyningskæden har vejledningen et eksempel med en virksomhed, der er afhængig af automatiseret produktion, IT og OT og mange leverandører. Eksemplets spørgsmål handler bl.a. om, hvilke leverandører der er kritiske, hvilke der er et enkeltpunkt, som alt afhænger af, og om leverandører af produktionsudstyr og automation er vurderet. For en kemikunde med procesanlæg er det de spørgsmål, der ligger nærmest, når den skal se på jer.

Vejledningen har også et eksempel om driftskontinuitet i en produktionsvirksomhed med automatiseret produktion. Her spørges bl.a. til, hvilke systemer der er nødvendige for at holde de vigtigste funktioner i gang, hvilke manuelle løsninger der er realistiske, og hvornår kontinuitetsplanen skal testes. Det kan føre til, at kunden beder jer deltage i en øvelse eller beskrive, hvordan jeres system kan genetableres. Det er et andet spørgsmål end en penetrationstest, og det bør besvares for sig. → Driftskontinuitet hos leverandøren

Leverancer, kunden kan være afhængig af

Processtyring · de systemer, der styrer og overvåger fremstillingen.
Laboratorie og kvalitet · systemer, der registrerer analyser og frigiver produkter.
Lager og forsendelse · styring af lagre, ordrer og dokumenter, der følger varen.
Fjernadgang og service · den forbindelse, I bruger til at vedligeholde jeres udstyr. → Fjernovervågning af anlæg
Almindelig IT · servere, brugere og netværk, som anlæggene kan være forbundet med.

Kunden har brug for at kende jeres del af hver af dem. Start med de dele, kunden selv har vurderet som kritiske, og beskriv de øvrige, så kunden kan se, at de ikke er glemt. Er jeres udstyr i drift i mange år, så forklar også, hvor længe I leverer sikkerhedsrettelser til det, og hvordan kunden får besked om sårbarheder i ældre versioner.

Når anlægget skal køre under testen

En test, der rammer procesanlæg, kræver ekstra planlægning, fordi en forstyrrelse kan få betydning ud over IT. Aftal med en driftsansvarlig hos kunden, hvad der må afprøves aktivt, hvad der vurderes ud fra opsætning og netværksadskillelse, og hvordan testen stoppes. Er der dele, der kun kan afprøves i et testmiljø eller under et planlagt stop, så skriv det i testplanen og i dokumentationen.

Det er ikke et svaghedstegn at vælge en anden metode for de mest følsomme dele. Det vigtige er, at kunden kan se, hvad der blev afprøvet på hvilken måde, og hvorfor. → Produktionsudstyr og OT

Et tænkt eksempel

En leverandør af et laboratoriesystem får et krav fra en kemikaliedistributør om dokumentation for årlig test. Leverandøren spørger, hvilket afsnit i vejledningen kravet bygger på, og får henvisningen til afsnittet om forsyningskæden og til kundens egen liste over kritiske leverandører, hvor laboratoriesystemet står. Testen dækker systemets webadgang, brugerroller og integrationen til kundens lagersystem. Kunden får et resumé med omfang, tidspunkt, resultat og status på rettelser, og leverandøren beskriver kort, hvordan sårbarheder i systemet meldes til kunden.

Det skal I lade være med

At gå ud fra, at kun store kemiske fabrikker er omfattet · distribution og produktion af artikler står også i bilaget.
At lede efter en sektorvejledning, der ikke findes · kunden bruger de tværgående vejledninger.
At afprøve procesanlæg aktivt uden en driftsansvarlig · konsekvenserne kan række ud over IT.
At svare på hele vejledningen · bed om det afsnit, kravet bygger på.
At love, at kunden dermed opfylder loven · den vurdering ligger hos kunden og myndigheden.

Hvad kan og ikke kan konkluderes

Loven og bekendtgørelsen viser, hvilke kemikalievirksomheder der kan være omfattet, og at Styrelsen for Samfundssikkerhed er deres myndighed. Vejledningen viser, hvorfor kunden spørger til test og til leverandører af produktionsudstyr. En test af jeres leverance viser, hvad der kunne lade sig gøre på testtidspunktet i de dele, der var med, og intet om dem, der blev vurderet på anden måde.