Leverandør til kommuner: når en kommune stiller NIS2‑krav

En leverandør til en kommune kan få spørgsmål om sikkerhedstest, der henviser til NIS2. Det kan undre, fordi kommunerne ikke står som en selvstændig type i lovens bilag. Forklaringen findes i Styrelsen for Samfundssikkerheds vejledning til kommuner om NIS 2-loven fra juli 2025 og i bekendtgørelse nr. 620 af 2. juni 2025, § 1, nr. 1, der gør styrelsen til kompetent myndighed for kommunerne.

Kort sagt kan en kommune være omfattet gennem de opgaver, den løser, og så gælder kravene for alle de net- og informationssystemer, kommunen bruger. Kravet til jer afhænger af, hvilke opgaver jeres leverance understøtter. Teksten handler om de sikkerhedskrav, kommunen stiller, og er ikke juridisk rådgivning.

Hvorfor en kommune kan være omfattet

Bilag 1, punkt 10, om offentlig forvaltning nævner enheder under den centrale forvaltning og på regionalt plan, ikke det lokale plan. Lovens § 1, stk. 7, giver mulighed for at fastsætte regler om, at loven helt eller delvis også gælder for offentlige forvaltningsenheder på lokalt plan.

Styrelsens vejledning beskriver et andet grundlag. Kommuner er efter vejledningen omfattet på samme grundlag som andre enheder, når de leverer tjenester eller udfører aktiviteter i en af bilagenes sektorer, fx transport og sundhed, og opfylder størrelseskriterierne eller er af særlig samfundsmæssig betydning. Vejledningen skriver også, at det i så fald er alle de net- og informationssystemer, kommunen bruger til sine opgaver, der er omfattet, selv om kun dele af opgaverne står i bilagene. → Bilag 1 og 2

Hele kommunen, men ikke samme niveau overalt

Vejledningen understreger, at det ikke betyder ens sikkerhedstiltag i hele kommunen. Kommunen skal arbejde risikobaseret og kan beskytte mindre kritiske dele på et lavere niveau, hvis de er tilstrækkeligt adskilt fra de kritiske. Vejledningens eksempel nævner systemer, der understøtter uddeling af medicin, som kritiske og fritidstilbud som mindre kritiske.

For jer betyder det, at to leverandører til samme kommune kan møde meget forskellige krav. Understøtter jeres system en opgave, kommunen har vurderet som kritisk, kan I forvente spørgsmål om test og dokumentation. Understøtter det en adskilt og mindre kritisk opgave, kan kravene være lettere. Spørg kommunen, hvordan den har placeret jeres system i sin risikovurdering.

Svaret kan også vise, hvad testen bør dække. Er jeres system kritisk, fordi det er forbundet med kommunens øvrige net, er forbindelsen og adgangsstyringen det vigtigste at få afprøvet. Er det kritisk, fordi borgere logger ind på det, er det login og rettigheder, kommunen vil høre om. Et omfang, der følger kommunens egen begrundelse, er lettere for kommunen at bruge i sin leverandørstyring, og det gør det også lettere for jer at sige nej til test af dele, kommunen ikke har vurderet som kritiske. → Kundens risikovurdering som grundlag for jeres test

KL’s drejebog for kommunerne. KL har udgivet en kommunal NIS2-drejebog med et kapitel om forsyningskædesikkerhed. Den foreslår, at kommunen vurderer kritikaliteten for hver løsning og ikke for leverandøren som helhed, fordi den samme leverandør kan levere løsninger med forskellig betydning for kommunen. Før en ny kontrakt kan kommunen screene leverandøren, og forventningen til resultatet stiger med løsningens kritikalitet. Et af screeningens spørgsmål er, om leverandøren udfører regelmæssige risikovurderinger og tekniske test, fx penetrationstest. Drejebogen er inspiration og ikke et krav, så den enkelte kommune vælger selv, om og hvordan den bruger den.

Kommunale selskaber er selvstændige kunder

Kommunale opgaver kan løses i selskaber og fællesskaber med eget CVR-nummer. Vejledningen skriver, at sådanne enheder i udgangspunktet er selvstændige enheder i lovens forstand og selv har ansvaret, også når kommunen ejer dem fuldt ud. Et vandselskab ejet af kommunen har altså sit eget ansvar og sin egen myndighed for sektoren.

Leverer I både til kommunen og til et af dens selskaber, har I to kunder med hver deres krav og måske hver deres myndighed. Dokumentation, der er lavet til kommunen, kan ikke uden videre deles med selskabet eller omvendt. → Leverandør til drikkevand og spildevand

Fælles løsninger for flere kommuner

Flere kommuner kan bruge den samme løsning. Vejledningen skriver, at ansvaret for at overholde loven ikke kan flyttes, men at kommuner godt kan samarbejde om leverandørstyring og risikovurderinger. Vejledningens eksempel handler om en række kommuner med en fælles løsning hos samme leverandør. De bliver enige om et passende sikkerhedsniveau og en model for løbende information fra leverandøren og vurderer, at en årlig tilbagemelding og en intern revision ud fra det aftalte niveau er passende.

Det er værd at kende som leverandør. Kommer kravet fra en gruppe kommuner, kan én fælles dokumentation dække dem alle, hvis den er bygget op om det aftalte sikkerhedsniveau. Vejledningen skriver samtidig, at den enkelte kommune skal sætte sig ind i den fælles dokumentation og forholde sig til den i sin egen sammenhæng. Lav derfor dokumentationen, så den kan læses af en kommune, der ikke har været med til at aftale den. → Dokumentationen på et fast tidspunkt hvert år

Når I selv udfører en kommunal opgave

Vejledningen har et eksempel med private leverandører af hjemmepleje. Hjemmepleje hører under sundhedssektoren, og leverandørerne kan selv være omfattet. Det er ifølge vejledningen leverandørernes eget ansvar, ikke kommunens. Kommunen skal sikre sin forsyningskæde, men i eksemplet vurderer den, at leverandørerne mest er afhængige af kommunens egne systemer, og vælger at fokusere på dem.

Udfører I en opgave for kommunen, kan I altså være både leverandør og selvstændigt omfattet. Kommunens krav til jer og jeres egne pligter efter loven er to forskellige spor. → Er vi selv omfattet af NIS2?

Hændelser og jeres rolle

Vejledningen skriver, at en kommune kan aftale, at fx driftsleverandøren foretager underretningen om en væsentlig hændelse på kommunens vegne, men at ansvaret ikke kan uddelegeres, og at aftalen skal dokumenteres, så den kan deles ved et tilsyn. Er I driftsleverandør, kan kommunen derfor spørge, om I vil påtage jer den opgave. Det er en anden aftale end aftalen om test, men den hænger sammen med den: en test kan vise, om I opdager det, I skal underrette om. → Kundens 24 timer

Det skal I lade være med

At afvise kravet, fordi kommuner ikke står i bilaget · vejledningen beskriver, hvordan kommuner kan være omfattet.
At gå ud fra, at alle kommunens systemer skal testes ens · kommunen arbejder risikobaseret.
At dele kommunens dokumentation med dens selskaber · de er selvstændige kunder.
At lave én pakke til en gruppe kommuner uden forklaring · hver kommune skal kunne læse den selv.
At påtage jer underretning af hændelser uden skriftlig aftale · ansvaret bliver hos kommunen.

Hvad kan og ikke kan konkluderes

Bekendtgørelsen viser, at Styrelsen for Samfundssikkerhed er kommunernes myndighed, og vejledningen viser, hvordan styrelsen ser på kommunernes forpligtelser og fælles løsninger. En test af jeres leverance kan indgå i kommunens leverandørstyring. Den afgør ikke, om kommunen er omfattet, og den erstatter ikke kommunens egen vurdering af risikoen ved jeres system.