Leverandør til teleselskaber: krav efter telesektorens egen lov

Leverer I udstyr, software, drift eller support til en teleudbyder, er det ikke sikkert, at kravet om sikkerhedstest kommer fra NIS 2-loven. Teleudbydere har deres egen lov: lov nr. 435 af 6. maj 2025 om sikkerhed og beredskab i telesektoren. NIS 2-lovens § 1, stk. 2, holder enheder uden for NIS 2-loven i det omfang, de er omfattet af teleloven. Under teleloven ligger bekendtgørelse nr. 621 af 2. juni 2025 om risikostyring og sikkerhed i telesektoren, som har flere bestemmelser, der handler direkte om leverandører.

For jer betyder det, at kundens krav kan være mere konkrete end kravbilag fra kunder under NIS 2-loven, og at de kan nævne begreber, I ikke møder hos andre kunder. Teksten er ikke juridisk rådgivning.

Hvem teleloven gælder for

Loven gælder efter § 1 for teleudbydere, der med et kommercielt formål stiller offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester til rådighed i Danmark. Kommuner og regioner, der gør det samme, er efter § 1, stk. 2, ikke omfattet af teleloven. Det er den undtagelse, NIS 2-lovens § 1, stk. 2, henviser til.

Teleloven skelner, som NIS 2-loven, mellem væsentlige og vigtige udbydere (§§ 3 og 4). Efter § 17 er det Styrelsen for Samfundssikkerhed, der fører tilsyn. Foranstaltningerne i § 5, stk. 1, ligner opregningen i NIS 2-lovens § 6. Forsyningskæden står i nr. 4, mens nr. 6 kræver politikker og procedurer, der vurderer, om foranstaltningerne virker. → Energi, tele og finans

Bekendtgørelsens regler om leverandører

Bekendtgørelse nr. 621 er der, hvor kravene bliver konkrete. Fire bestemmelser er særligt relevante for en leverandør:

§ 2, stk. 2 og 3 · drives teleudbyderens systemer helt eller delvis af en tredjepart, skal risikoen med i risikovurderingen, og udbyderen skal sikre, at tredjeparten opretholder en tilsvarende sikkerhed i sine driftsleverancer.
§ 19, stk. 1 og 2 · udbyderen er fortsat ansvarlig for kravene i de dele af samarbejdet, der vedrører eller direkte påvirker udbyderens systemer, og aftalegrundlaget skal omfatte alle relevante sikkerhedskrav.
§ 19, stk. 3 og 4 · udbyderen skal sikre, at leverancen, herunder dens konfiguration, svarer til det aftalte. Pligten kan opfyldes med stikprøver, hvis det står i forhold til risikovurderingen.
§ 20 · udbyderen skal sikre en dokumenteret kontrol af, at informationssikkerhedskravene i aftalegrundlaget efterleves.

Kravet om dokumenteret kontrol er det punkt, der mest direkte kan række ned til jer. Kunden skal kunne vise, at kontrollen er sket, og jeres testdokumentation kan være en del af den. → Dokumentation til NIS2-kunden

Test før ændringer og løbende test

Bekendtgørelsen indeholder også to bestemmelser om test, som udbyderen selv skal leve op til. Efter § 11, stk. 2, skal udbyderen ved ændringer i kritiske netkomponenter, systemer og værktøjer vurdere, hvilke test der skal udføres før ændringen, og testene skal være gennemført, dokumenteret og evalueret, inden ændringen sker. Efter § 13, stk. 3, skal væsentlige og vigtige udbydere regelmæssigt gennemføre relevante tekniske test for at afdække potentielle sårbarheder, fx sårbarhedsscanninger.

Kritiske netkomponenter, systemer og værktøjer er defineret i § 1, nr. 7, og omfatter blandt andet systemer til drift og netstyring samt hardware, firmware og software i kernenet og radionet. Leverer I noget af det, kan kunden bede om, at nye versioner er testet, før de tages i brug, og at I bidrager til den løbende test. → Test ved idriftsættelse

Myndighedens adgang til leverandøren

Teleloven giver Styrelsen for Samfundssikkerhed redskaber, der kan række ud over kunden. Over for væsentlige udbydere kan styrelsen efter § 19, stk. 1, nr. 1, foretage kontrol hos udbydernes samarbejdspartnere, leverandører eller underleverandører i relation til outsourcet aktivitet. § 22, stk. 1, nr. 1, giver tilsvarende adgang over for vigtige udbydere, når der er indikationer på, at reglerne ikke overholdes.

Bekendtgørelsens § 22, nr. 1, giver desuden styrelsen mulighed for i særlige tilfælde at påbyde en væsentlig udbyder at få gennemført en uafhængig sikkerhedsevaluering af leverancer af kritiske netkomponenter fra en bestemt leverandør. Det er kundens forhold over for styrelsen, men det kan betyde, at jeres leverance bliver evalueret af andre end jer selv. Aftal på forhånd, hvordan I bidrager, og hvad der deles. → Ret til revision

Når kunden skal give besked om aftaler

Teleloven indeholder også en hjemmel, der kan påvirke tidsplanen for en ny leverance. Efter § 7, stk. 5, nr. 2 og 3, kan ministeren fastsætte regler om, at udbyderen skal underrette Styrelsen for Samfundssikkerhed ved påtænkte aftaler om leverancer, der vedrører væsentlige dele af nettet, tjenesterne eller driften, og om at indsende et endeligt aftaleudkast, før aftalen indgås. Om og hvordan reglerne er udmøntet for en bestemt leverance, må kunden oplyse.

For jer kan det betyde, at kunden vil have testkrav og testplan på plads tidligt, fordi aftalen skal være færdig, før den sendes videre. Spørg, om leverancen er omfattet, og hvad det betyder for, hvornår testen skal ligge. → Test før kontraktstart

Et tænkt eksempel

En leverandør af et system til overvågning af netudstyr får et kravbilag fra en teleudbyder. Bilaget henviser til bekendtgørelsens § 19 og § 20 og beder om en årlig uafhængig test af systemet og leverandørens fjernadgang, en beskrivelse af opsætningen hos kunden og dokumentation for, at nye versioner testes før levering.

Leverandøren laver en testplan, der dækker systemet og adgangsvejen, og et kort notat, der viser, hvordan opsætningen svarer til aftalen. Resultatet afleveres, så kunden kan bruge det i sin dokumenterede kontrol. → Test af supportadgangen

Det skal I lade være med

At svare med henvisning til NIS 2-lovens § 6 · kunden måles efter teleloven og bekendtgørelse nr. 621.
At overse kravet om konfiguration · § 19, stk. 3, handler om leverancen, som den faktisk er sat op.
At levere nye versioner uden testdokumentation · kunden skal kunne vise, at test er sket før ændringen.
At gå ud fra, at kun kunden kan blive kontrolleret · loven giver adgang til leverandører i relation til outsourcet aktivitet.
At lade aftalegrundlaget stå uændret efter større ændringer · § 19, stk. 2, kræver opdatering i fornødent omfang.

Hvad kan og ikke kan konkluderes

Teleloven og bekendtgørelse nr. 621 viser, hvad en teleudbyder skal kræve og kontrollere hos sine leverandører. De viser ikke, hvordan en bestemt kunde har udmøntet kravene i aftalen med jer. En test af jeres leverance kan indgå i kundens dokumenterede kontrol efter § 20, men den er ikke i sig selv bevis for, at kunden eller I overholder reglerne. → Hvad dokumentationen ikke beviser

Tjekliste til leverandører til teleudbydere

☐ Har kunden henvist til teleloven eller bekendtgørelse nr. 621 i kravet?
☐ Ved I, om jeres leverance hører til kundens kritiske netkomponenter, systemer og værktøjer?
☐ Er der aftalt test af nye versioner før levering?
☐ Kan I dokumentere, at opsætningen hos kunden svarer til aftalen?
☐ Er det aftalt, hvordan I medvirker, hvis myndigheden kontrollerer jer?
☐ Bliver aftalegrundlaget opdateret ved væsentlige ændringer?