Leverandør til rumsektoren: når kunden driver jordbaseret infrastruktur

Rummet er en af sektorerne i NIS 2-lovens bilag 1, men det er ikke satellitterne selv, loven handler om. Bilagets punkt 11 omfatter operatører af jordbaseret infrastruktur, der understøtter levering af rumbaserede tjenester, uanset om infrastrukturen ejes og drives af en stat eller af private. Udbydere af offentlige elektroniske kommunikationsnet er undtaget fra punktet.

For en leverandør betyder det, at kravet om test handler om noget på jorden: jordstationer, antenner, systemer til styring og overvågning, modtagelse og behandling af data og forbindelserne mellem dem. Siden forklarer, hvem i sektoren der kan være omfattet, hvem der fører tilsyn, og hvad kunden kan have brug for at få afprøvet. Teksten er ikke juridisk rådgivning.

Hvad bilagets punkt 11 dækker

Bilaget nævner én type enhed under rummet: operatører af jordbaseret infrastruktur, der ejes, forvaltes og drives af medlemsstater eller private parter, og som understøtter levering af rumbaserede tjenester. Det er driften på jorden, der gør en kunde til en del af sektoren. En virksomhed, der kun køber satellitdata og bruger dem i sin egen forretning, er ikke en operatør efter punktet.

Undtagelsen for udbydere af offentlige elektroniske kommunikationsnet betyder, at et teleselskab med satellitforbindelser ikke hører til rummet. Det kan i stedet være omfattet af telesektorens egne regler, som NIS 2-lovens § 1, stk. 2, holder uden for loven i det omfang, de gælder. → Leverandør til teleselskaber

Når I selv driver stationen. En leverandør kan drive en jordstation på kundens vegne eller stille antenner og udstyr til rådighed som en tjeneste. Så kan I selv være operatør af jordbaseret infrastruktur og dermed have jeres egne pligter efter loven, hvis I også opfylder størrelseskriterierne. Kundens krav til jer og jeres egne pligter er to spor, der skal holdes adskilt. → Er vi selv omfattet af NIS2?

Størrelsen afgør kategorien

Fordi rummet står i bilag 1, kan en kunde i sektoren blive væsentlig enhed alene på grund af sin størrelse. Efter § 4, stk. 1, gælder det, hvis enheden beskæftiger 250 personer eller derover, eller hvis den har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro. En mindre operatør er efter § 5 vigtig enhed, hvis den beskæftiger mindst 50 personer eller har både omsætning og balance over 10 mio. euro.

Er operatøren under de grænser, er den som udgangspunkt ikke omfattet. § 4, stk. 3, kan dog gøre en enhed væsentlig uanset størrelse, fx hvis den er eneste udbyder i Danmark af en tjeneste, der er væsentlig for kritiske samfundsmæssige aktiviteter, eller hvis den er identificeret som kritisk enhed efter CER-loven. Spørg derfor kunden, hvilken kategori kunden har registreret sig i, i stedet for at gætte ud fra antallet af ansatte. → Væsentlige og vigtige enheder

Myndigheden bag kunden

Bekendtgørelse nr. 620 af 2. juni 2025 gør i § 9, nr. 1, Uddannelses- og Forskningsstyrelsen til kompetent myndighed for enheder i sektoren for rummet. § 10 gør Klimadatastyrelsen til myndighed for de styrelser og institutioner under Klima-, Energi- og Forsyningsministeriet, der opererer i sektoren.

En kunde i rumsektoren kan altså have en anden myndighed end jeres øvrige kunder, selv om kravet til jer ligner det, I kender fra andre sektorer. Det kan påvirke, hvilke ord kunden bruger, og hvilken vejledning kunden læner sig op ad. Har I kunder både i rumsektoren og i forskningssektoren, kan de have samme myndighed, fordi Uddannelses- og Forskningsstyrelsen også fører tilsyn med forskningsorganisationer. Det gør det lettere at bruge den samme form for dokumentation over for begge. → Hvem fører tilsyn med jeres kunde?

Det, kunden kan være afhængig af hos jer

Leverandører til en jordstation kan levere meget forskellige ting. Det, kunden er afhængig af, kan fx være:

Styring og overvågning · software, der planlægger kontakter med satellitter og overvåger stationens udstyr.
Fjernadgang til stationen · den forbindelse, jeres teknikere bruger til at vedligeholde antenner og udstyr, der står langt fra kundens kontor.
Databehandling · platforme, der modtager, lagrer og videresender data fra satellitterne til kundens kunder.
Netværk mellem stationer · forbindelser, der binder flere stationer og et kontrolcenter sammen.
Opdateringer af udstyr · den vej, ny software og firmware kommer ind i stationens systemer.

Det er de punkter, en test bør tage udgangspunkt i, når kunden henviser til § 6, stk. 1, nr. 4, om forsyningskædesikkerhed. → Hvilke systemer forventer NIS2-kunden testet?

Driften kan ikke stoppes for en test

En jordstation arbejder efter tidsplaner, der følger satellitternes baner, og en afbrudt kontakt kan betyde tabte data. Det stiller krav til, hvordan og hvornår en test kan gennemføres. Aftal testvinduer med kunden, og overvej, om dele af testen kan ske i et testmiljø eller på udstyr, der ikke er i drift.

Grænsen mellem it og styringsudstyr ligner den, I kender fra produktion og forsyning. Kunden vil ikke risikere driften for at få et testresultat, og I skal kunne vise, at testen er planlagt med det for øje. → Produktionsudstyr og OT

Et tænkt eksempel

En virksomhed leverer software til planlægning af satellitkontakter til en privat operatør af jordstationer med omkring 80 ansatte. Operatøren er vigtig enhed og sender et kravbilag, der beder om en uafhængig test af fjernadgangen og planlægningssystemet. Virksomheden spørger, om testen må køre mod produktionssystemet, og operatøren svarer, at det kun må ske i to faste vinduer om måneden.

Virksomheden lægger derfor den aktive del af testen i et testmiljø med samme opsætning og bruger produktionsvinduerne til at kontrollere adgangsstyringen. Resuméet til kunden beskriver begge dele og forklarer, hvorfor testen er delt op.

Det skal I lade være med

At tro, at loven handler om satellitterne · punkt 11 dækker infrastrukturen på jorden.
At gå ud fra, at kunden er omfattet, fordi den arbejder med rummet · størrelse og type afgør det.
At teste mod en station uden et aftalt vindue · en tabt kontakt kan ikke tages om.
At blande telesektorens regler og rumsektorens regler sammen · offentlige kommunikationsnet er undtaget fra punkt 11.
At glemme stationer, der står langt fra kontoret · fjernadgangen kan være det, kunden er mest afhængig af.

Hvad kan og ikke kan konkluderes

Loven og bekendtgørelsen viser, hvilke kunder i rumsektoren der kan være omfattet, og hvem der fører tilsyn med dem. De afgør ikke, om netop jeres kunde er omfattet, og de siger ikke, hvad en test skal dække. Det afhænger af kundens risikovurdering og af aftalen med jer.