Leverandør til post og kurertjenester

Et postselskab eller en kurervirksomhed kan bede sine leverandører om dokumentation for sikkerhedstest og henvise til NIS2. Leverer I sorteringsudstyr, sporingssystemer, integrationer til afsendere eller drift, er det en hjælp at vide, hvor kunden står i loven, og hvilken myndighed der fører tilsyn. Grundlaget er bilag 2, punkt 1, i NIS 2-loven, bekendtgørelse nr. 620 af 2. juni 2025, § 7, nr. 3, og Trafikstyrelsens beskrivelse af, hvem på postområdet der er omfattet.

Kort sagt er en omfattet postvirksomhed som udgangspunkt en vigtig enhed med Trafikstyrelsen som myndighed. Det ændrer ikke, at kunden skal styre sine leverandører, og at kravet til jer kan være lige så konkret som i andre sektorer. Teksten er ikke juridisk rådgivning.

Hvem på postområdet der er omfattet

Bilag 2, punkt 1, omfatter postbefordrende virksomheder som defineret i postdirektivet, direktiv 97/67/EF, herunder udbydere af kurertjenester. Trafikstyrelsen beskriver postbefordrende virksomheder som udbydere af posttjenester, der indsamler, sorterer, transporterer og omdeler postforsendelser, og skriver, at virksomheder med posttilladelse i Danmark betragtes som postbefordrende. Styrelsen har en liste over virksomheder med posttilladelse.

Som i resten af loven gælder størrelseskriterierne. En mindre kurervirksomhed kan derfor stå uden for loven og alligevel stille krav til jer ud fra egen risikovurdering eller krav fra sine egne kunder. Spørg, hvad kravet bygger på, før I svarer. Svaret afgør, om kunden skal kunne vise dokumentationen til Trafikstyrelsen eller kun bruger den internt. → Er vi selv omfattet af NIS2?

Trafikstyrelsen og status som vigtig enhed

Efter bekendtgørelsens § 7, nr. 3, er Trafikstyrelsen kompetent myndighed for post- og kurertjenester. Fordi sektoren står i bilag 2, knytter lovens § 4, stk. 1, ikke status som væsentlig enhed til størrelsen. Trafikstyrelsen skriver på sin side, at omfattede postvirksomheder derfor anses som vigtige enheder. En virksomhed, der er identificeret som kritisk enhed efter CER-loven, er dog efter styrelsens beskrivelse omfattet som væsentlig enhed.

Trafikstyrelsen beskriver forskellen i tilsynet sådan, at væsentlige enheder er under løbende tilsyn, mens vigtige enheder som udgangspunkt kun får tilsyn, når der er konkret anledning, fx indikationer på, at reglerne ikke overholdes. Det svarer til lovens § 24. → Væsentlige og vigtige enheder

Hvad status betyder for kravet til jer

Reaktivt tilsyn betyder ikke færre pligter. En vigtig enhed skal efter § 6 træffe de samme foranstaltninger som en væsentlig, herunder om forsyningskædesikkerhed i stk. 1, nr. 4. Forskellen ligger i, hvornår og hvorfor myndigheden ser på det, ikke i, hvad kunden skal have styr på.

For jer kan det vise sig på to måder. Kunden har måske ikke samme tidspres som en væsentlig enhed med planlagt tilsyn, og det kan give plads til at aftale et fornuftigt tidspunkt for testen. Til gengæld kan et reaktivt tilsyn komme efter en hændelse, og så har kunden brug for jeres dokumentation hurtigt. Har I den liggende i en form, der kan deles, er I forberedt på begge dele. → Kunden skal kunne vise tilsynet jeres testresultat

Leverancer til post og kurer

Post og kurer bygger på flere led, og leverandører kan sidde i hvert af dem:

Sortering · anlæg og software, der læser, sorterer og fordeler forsendelser.
Sporing · systemer, der registrerer forsendelsens vej og viser status for afsender og modtager.
Afhentning og udlevering · pakkebokse, udleveringssteder og de systemer, der styrer dem.
Afsenderintegrationer · forbindelser, hvor webshops og virksomheder opretter forsendelser og henter labels.
Drift og IT · servere, netværk og brugere bag det hele.

Kunden bør efter Trafikstyrelsens beskrivelse vurdere kravene til jer ud fra, hvad netop jeres leverance betyder for kundens forsynings- og cybersikkerhed. Det er en god anledning til at spørge, hvilket af leddene I leverer til, kunden ser som det mest kritiske.

Sorteringsanlæg kræver samme omtanke som andet udstyr, der skal køre under testen. Et anlæg, der står stille i en travl periode, kan forsinke mange forsendelser, så tidspunktet bør lægges, hvor kunden kan tåle et stop, og kunden bør have en person klar, der kan afbryde testen. Dele af styringen kan i stedet vurderes ud fra opsætning og netværksadskillelse, hvis aktiv afprøvning er for risikabel. Skriv i dokumentationen, hvilken fremgangsmåde der blev valgt for hvilke dele. → Produktionsudstyr og OT

Integrationer, som mange afsendere bruger

En integration, som mange afsendere kalder, kan være den del af jeres leverance, kunden er mest afhængig af. Fejl i adgangsstyringen kan give én afsender adgang til en andens forsendelser, og et nedbrud kan stoppe oprettelsen af forsendelser for mange på én gang.

Testen bør derfor dække, hvordan afsendere adskilles fra hinanden, og hvordan integrationen opfører sig over for afsendere, der ikke må se andres data. Brug testkonti, der svarer til rigtige afsendertyper, og aftal med kunden, hvordan testforsendelser holdes ude af den rigtige drift. → API’et, kunden kalder

Et tænkt eksempel

En leverandør af et sporingssystem til en kurervirksomhed får et krav om dokumentation for test. Kurervirksomheden har posttilladelse, opfylder størrelseskriterierne og har registreret sig som vigtig enhed. Leverandøren foreslår, at testen dækker sporingssiden for modtagere og integrationen, hvor afsendere opretter forsendelser, men ikke kundens sorteringsanlæg, som en anden leverandør ejer. Kunden får et resumé med omfang, tidspunkt, resultat og status på rettelser og en beskrivelse af, hvordan afsendere er holdt adskilt. Leverandøren aftaler samtidig med kunden, at næste test lægges efter den planlagte udvidelse med pakkebokse, fordi den ændrer, hvem der har adgang til systemet.

Det skal I lade være med

At gå ud fra, at vigtig enhed betyder lavere krav · foranstaltningerne er de samme.
At teste integrationen med rigtige afsenderes data · brug testkonti og testforsendelser.
At inddrage udstyr, en anden leverandør ejer · den ejer skal selv give tilladelse.
At vente med dokumentationen, til kunden har et tilsyn · et reaktivt tilsyn kan komme hurtigt.
At afvise en mindre kurervirksomheds krav · aftalen kan kræve test, selv om loven ikke gør.

Hvad kan og ikke kan konkluderes

Lov, bekendtgørelse og Trafikstyrelsens beskrivelse viser, hvilke post- og kurervirksomheder der kan være omfattet, og hvordan tilsynet med dem som udgangspunkt foregår. En test viser, hvad der kunne lade sig gøre i de dele af jeres leverance, der var med på testtidspunktet. Den afgør ikke kundens status, og den siger intet om led i kæden, der ikke blev testet.

Tjekliste til en post- eller kurerkunde

☐ Har kunden posttilladelse, og har den registreret sig efter NIS 2-loven?
☐ Ved I, hvilket led i kæden jeres leverance indgår i?
☐ Er afsenderintegrationer med i omfanget?
☐ Er testkonti og testforsendelser aftalt?
☐ Ligger dokumentationen klar, hvis kunden får et reaktivt tilsyn?
☐ Er tidspunkt og stop for test af sorteringsudstyr aftalt med kunden?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: § 4, stk. 1, § 5, § 6, stk. 1, nr. 4, § 24 og bilag 2, punkt 1.
Bekendtgørelse nr. 620 af 2. juni 2025: § 7, nr. 3.
Trafikstyrelsen, NIS 2 for transportsektoren: postbefordrende virksomheder, posttilladelse, vigtige enheder og CER.
Trafikstyrelsen, NIS2: tilsyn med væsentlige og vigtige enheder og krav til underleverandører.

Senest gennemgået: oktober 2026.