Leverandør til statslige myndigheder

En styrelse, et departement eller en statslig institution, der beder om dokumentation for sikkerhedstest, er selv under et tilsyn, der er planlagt og løbende. Det påvirker, hvor præcist kravet til jer er formuleret, og hvad kunden har brug for at kunne vise. Grundlaget er NIS 2-lovens § 4, stk. 3, nr. 2, bekendtgørelse nr. 620 af 2. juni 2025, § 1, nr. 2, og Styrelsen for Samfundssikkerheds sektorvejledning til offentlige forvaltningsenheder under den centrale forvaltning fra oktober 2026.

Kort sagt er statslige myndigheder væsentlige enheder uanset størrelse, og deres myndighed har meldt ud, at forsyningskæden kan blive et tema i tilsynet. Teksten handler om de sikkerhedskrav, myndigheden stiller som kunde, og er ikke juridisk rådgivning.

Væsentlige enheder uanset størrelse

Efter § 4, stk. 3, nr. 2, anses offentlige forvaltningsenheder under den centrale forvaltning for væsentlige enheder, uanset hvor store de er. Det betyder, at tilsynet med dem efter § 21 er proaktivt. Efter bekendtgørelsens § 1, nr. 2, er Styrelsen for Samfundssikkerhed deres kompetente myndighed.

Der er undtagelser, som en leverandør bør kende. Regionerne hører efter § 2, nr. 1, under Sundhedsdatastyrelsen, og Banedanmark og Vejdirektoratet hører efter § 7, nr. 4, under Trafikstyrelsen. Lovens § 1, stk. 4, undtager forvaltningsenheder, der arbejder med national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse. Uddannelsesinstitutioner står ikke i bilagene, men § 1, stk. 7, giver mulighed for at fastsætte regler om dem. Er kunden en uddannelsesinstitution, så spørg, om sådanne regler gælder. → Hvem fører tilsyn med jeres kunde?

Hvem der hører til den centrale forvaltning

Vejledningen beskriver, at departementer, styrelser og institutioner som udgangspunkt hører til, og at selvstændige offentlige virksomheder også kan gøre det. Statslige institutioner organiseret i selskabsform hører ifølge vejledningen ikke umiddelbart med, og Folketinget, Rigsrevisionen, Folketingets Ombudsmand og domstolene falder uden for. Vurderingen er konkret og ligger hos kunden.

For jer er pointen, at en statsejet kunde ikke nødvendigvis er en statslig myndighed i lovens forstand. Spørg kunden, om den har registreret sig som væsentlig enhed i den offentlige forvaltning, eller om kravet bygger på noget andet. → Væsentlige og vigtige enheder

Tekniske minimumskrav og ISO 27001

Statens myndigheder har i forvejen arbejdet med ISO 27001 og med tekniske minimumskrav, som Styrelsen for Samfundssikkerhed udarbejder. Vejledningen beskriver minimumskravene som tekniske krav inden for bl.a. klienter, mail, autentifikation, logning, netværk, internetvendte tjenester og interne it-systemer. Den skriver også, at ISO 27001 og minimumskravene i høj grad kan bidrage til at overholde lovens krav, men ikke nødvendigvis er tilstrækkelige alene, og at minimumskravene indgår som en integreret del af tilsynet.

Det har betydning for sproget i kravet til jer. En statslig kunde kan spørge efter dokumentation, der passer til et bestemt minimumskrav eller en bestemt ISO-kontrol, og ikke kun efter en testrapport i almindelighed. Bed om at få at vide, hvilket krav jeres dokumentation skal understøtte, så resuméet kan pege direkte på det. → ISO 27001 og NIS2

Tilsynet i 2026 og 2027

Vejledningen beskriver, at styrelsen i 2026 og 2027 fører proaktivt tilsyn i to runder. Første runde er et bredt tilsyn baseret på selvevaluering og spørgerammer. I anden runde udvælges en række myndigheder til dybdegående tilsyn om afgrænsede temaer, og vejledningen nævner forsyningskædesikkerhed som et af eksemplerne.

En statslig kunde kan derfor få brug for at vise, hvordan den følger op på sine leverandører, og det kan ske med kort varsel. Har I en opdateret beskrivelse af den seneste test og status på rettelser liggende, kan kunden bruge den uden at vente på jer.

Vejledningen omtaler også hændelser. En myndighed kan aftale, at den virksomhed, der drifter dens net- og informationssystemer, foretager underretningen på dens vegne, men ansvaret for, at den sker rettidigt og er korrekt, ligger altid hos myndigheden. Er I driftsleverandør, kan aftalen om test og aftalen om underretning derfor komme på bordet samtidig. Hold dem adskilt, og sørg for, at det står klart, hvem der gør hvad, hvis testen afslører noget, der skal behandles som en hændelse. → Kunden skal kunne vise tilsynet jeres testresultat

Fællesstatslige løsninger ved siden af jeres

Vejledningen nævner, at Statens IT, Økonomistyrelsen og Digitaliseringsstyrelsen driver fællesstatslige løsninger og selv er væsentlige enheder. Over for de myndigheder, der bruger løsningerne, betragtes de ifølge vejledningen som leverandører eller tjenesteudbydere.

For en privat leverandør betyder det, at jeres system kan køre side om side med løsninger, som hverken I eller kunden ejer. Kunden kan ikke give tilladelse til at teste dem, og de bør holdes uden for jeres test. Beskriv i stedet grænsefladen mellem jeres system og den fælles løsning, og test jeres egen side af den. → Noget, I ikke ejer

Et tænkt eksempel

En leverandør af et sagsbehandlingssystem til en styrelse får et spørgsmål om test i forbindelse med styrelsens leverandøropfølgning. Styrelsen henviser til et teknisk minimumskrav om internetvendte tjenester og til sin egen ISO-kontrol for leverandørforhold. Leverandøren sender et resumé af den seneste test af den del af systemet, der er tilgængelig fra internettet, med omfang, tidspunkt, de væsentligste fund og status på rettelser, og peger i følgebrevet på de to krav. Integrationen til en fællesstatslig løsning er beskrevet, men ikke testet, fordi løsningen ejes af en anden myndighed.

Det skal I lade være med

At gå ud fra, at alle statsejede kunder er under samme regler · selskaber, regioner og visse styrelser har andre rammer.
At sende en rapport uden at vide, hvilket krav den skal understøtte · kunden kan have et bestemt minimumskrav eller en bestemt kontrol i tankerne.
At teste en fællesstatslig løsning på kundens tilladelse · kunden ejer den ikke.
At vente med dokumentationen, til kunden spørger · tilsynet kan komme med kort varsel.
At love, at jeres dokumentation opfylder et minimumskrav · det vurderer kunden og tilsynet.

Hvad kan og ikke kan konkluderes

Loven og bekendtgørelsen viser, at statslige myndigheder er væsentlige enheder med Styrelsen for Samfundssikkerhed som myndighed, og vejledningen viser, hvad styrelsen lægger vægt på i tilsynet. En test af jeres leverance kan indgå i kundens dokumentation for leverandørstyring. Den kan ikke vise, at kunden opfylder minimumskravene, og den siger intet om de fællesstatslige løsninger, jeres system arbejder sammen med.

Tjekliste til en statslig kunde

☐ Er kunden en offentlig forvaltningsenhed under den centrale forvaltning, eller noget andet?
☐ Hører kunden under Styrelsen for Samfundssikkerhed eller en anden myndighed?
☐ Ved I, hvilket minimumskrav eller hvilken kontrol jeres dokumentation skal understøtte?
☐ Ligger en opdateret beskrivelse af testen og rettelserne klar?
☐ Er grænsefladen til fællesstatslige løsninger beskrevet og holdt uden for testen?
☐ Er en eventuel aftale om underretning af hændelser holdt adskilt fra aftalen om test?