Leverandør til transport: luft, jernbane, vej og søfart

En lufthavn, et jernbaneselskab, en vejmyndighed og et rederi kan alle sende jer et krav om sikkerhedstest med henvisning til NIS2, men de har ikke samme myndighed, og nogle af dem har flere regelsæt oven i hinanden. Som leverandør hjælper det at vide, hvilket af dem kravet faktisk kommer fra. Grundlaget er transportafsnittet i bilag 1 til NIS 2-loven, bekendtgørelse nr. 620 af 2. juni 2025, §§ 7, 8 og 12, og Trafikstyrelsens egen beskrivelse af, hvem der er omfattet.

Kort sagt kan kravet til jer bygge på NIS 2-loven, på særlige transportregler eller på begge. Spørg derfor, hvilket grundlag kunden henviser til, før testen planlægges. Teksten er ikke juridisk rådgivning.

Fire delsektorer og tre myndigheder

Bilag 1, punkt 2, deler transport op i luft, jernbane, vand og vejtransport. Efter bekendtgørelsens § 7, nr. 1, er Trafikstyrelsen kompetent myndighed for luft, jernbane og vej. Rederier, der fragter passagerer og gods til søs, har efter § 8 Søfartsstyrelsen som myndighed, mens operatører af skibstrafiktjenester efter § 12, nr. 1, hører under Styrelsen for Samfundssikkerhed. Havne har deres egen artikel. → Leverandør til havne og havnefaciliteter

Der er også en særregel for staten. Efter § 7, nr. 4, hører Banedanmark og Vejdirektoratet under Trafikstyrelsen, selv om de er en del af den centrale forvaltning. En leverandør til dem møder altså Trafikstyrelsens forventninger og ikke kun de statslige. Omvendt kan en kunde have aktiviteter i flere delsektorer og dermed flere myndigheder. Trafikstyrelsen skriver, at et rederi, der selv driver en havnefacilitet som terminaloperatør, hører under Trafikstyrelsen for havnefaciliteten og under Søfartsstyrelsen i øvrigt. → Leverandør til statslige myndigheder

Hvem Trafikstyrelsen regner med

Trafikstyrelsen beskriver på sin side, hvilke aktører der er omfattet, hvis de opfylder lovens størrelseskrav:

Luftfart · luftfartsselskaber med dansk CVR-nummer og dansk AOC, lufthavne og flyvekontroltjenester.
Jernbane · infrastrukturforvaltere, jernbanevirksomheder og operatører af servicefaciliteter. Metro og letbane regnes med.
Vej · vejmyndigheder med ansvar for trafikledelse og operatører af intelligente transportsystemer, som styrelsen forstår som systemer, der giver trafikinformation til rejsende.

Styrelsen skriver også, at virksomheder, der alene kører bus eller transporterer fragt på vejnettet, ikke er omfattet på transportområdet. De kan dog være omfattet på et andet område, fx hvis de transporterer fødevarer eller affald. Leverer I til en vognmand, kan kravet derfor have en helt anden kilde end transportreglerne. → Leverandør til fødevareproduktion og engroshandel

Hvad styrelsen skriver om underleverandører

Trafikstyrelsen har et svar til netop jer. Styrelsen skriver, at NIS 2-loven ikke i sig selv stiller krav til underleverandører, men at en virksomhed, der leverer til en omfattet kunde, må forvente, at kunden stiller relevante krav. Kravene bør efter styrelsens beskrivelse være proportionale med den konkrete leverances betydning for kundens forsynings- og cybersikkerhed.

Det er et brugbart udgangspunkt i dialogen. Leverer I et system til trafikinformation, et planlægningsværktøj eller drift af kundens servere, er det rimeligt at spørge, hvilken betydning kunden tillægger netop den leverance, og hvad kunden derfor har brug for at se. → Forholdsmæssige krav

Regler ved siden af NIS2

Transport har regler, der er ældre end NIS2 eller gælder for andre formål, og de kan ligge bag et krav til jer.

Luftfartens securityregler · Trafikstyrelsen oplyser, at forordning (EU) 2019/1583 regulerer cybersikkerhed på securityområdet og bl.a. gælder lufthavne, luftfartsselskaber og sikkerhedsgodkendte leverandører.
Sikkerhed om bord · bekendtgørelse nr. 655 af 11. juni 2025 kræver, at rederier for ISM-pligtige skibe styrer risici for cybersikkerheden af betydning for skibes sikkerhed som en del af deres sikkerhedsstyringssystem.
Fartøjerne selv · bilag 1 omfatter rederier, men nævner udtrykkeligt de enkelte fartøjer som undtaget.

For en leverandør til et rederi betyder det, at udstyr om bord og rederiets systemer på land kan være reguleret forskelligt. Spørg, om kravet gælder skibets drift, rederiets kontor eller begge.

Hvad en test kan dække hos en transportkunde

Testens omfang følger det, kunden er afhængig af hos jer. Hos transportkunder kan det være:

Systemer i drift døgnet rundt · planlægning, trafikinformation eller styring, der ikke kan lukkes ned for at blive testet.
Forbindelser til kundens net · integrationer og dataudveksling, som kunden har gjort sig afhængig af. → Integrationer og dataudveksling
Fjernadgang · den vej, I bruger til service og opdatering af systemer eller udstyr.
Den fælles platform · hvis flere transportkunder bruger samme løsning.

Døgndrift kræver, at tidspunkt, stopkriterier og kontaktperson aftales med kunden, før testen begynder.

Det er ikke givet, at alle fire dele skal med hver gang. Spørg, hvilke dele kunden har vurderet som vigtige for sin egen drift, og start dér. Har kunden selv en test af sine systemer i gang, så aftal, hvem der tester grænsefladen mellem jer, så den hverken bliver testet to gange eller glemt. Den aftale bør stå skriftligt, før nogen af parterne går i gang. → Afgrænsning mod kundens eget miljø

Et tænkt eksempel

En leverandør af software til togdisponering får et krav fra en jernbanevirksomhed om årlig dokumentation for test. Leverandøren spørger, hvad kravet bygger på, og får at vide, at kunden er omfattet af NIS 2-loven med Trafikstyrelsen som myndighed. De aftaler, at testen dækker webdelen, integrationen til kundens trafikstyring og fjernsupporten, mens kundens egne net holdes uden for. Testen lægges om natten med en kontaktperson hos kunden på vagt, og kunden får et resumé, der kan indgå i kundens leverandøropfølgning.

Det skal I lade være med

At gå ud fra, at alle transportkunder har samme myndighed · luft, bane og vej, rederier og skibstrafik er fordelt på tre styrelser.
At behandle et securitykrav fra luftfarten som et NIS2-krav · reglerne og dokumentationen kan være forskellige.
At teste udstyr om bord uden rederiets aftale · skibets sikkerhed har sine egne regler.
At afvise kravet, fordi kunden er en vognmand · kravet kan komme fra et andet område eller fra aftalen.
At planlægge testen uden stopkriterier · døgndrift giver ikke et sikkert tidspunkt.

Hvad kan og ikke kan konkluderes

Bekendtgørelsen og Trafikstyrelsens beskrivelse viser, hvilken myndighed en transportkunde har efter sin delsektor, og hvilke andre regelsæt der kan ligge bag kravet. En test viser, hvad der kunne lade sig gøre i de dele af leverancen, der var med, på det tidspunkt testen blev udført. Den afgør ikke, om kunden er omfattet, og den gør ikke et securitykrav fra luftfarten opfyldt.

Tjekliste til en transportkunde

☐ Ved I, om kunden hører under Trafikstyrelsen, Søfartsstyrelsen eller Styrelsen for Samfundssikkerhed?
☐ Har kunden oplyst, om kravet bygger på NIS 2-loven eller på særlige transportregler?
☐ Er det klart, om kravet gælder udstyr om bord eller systemer på land?
☐ Er tidspunkt, stopkriterier og kontaktperson aftalt?
☐ Kan resultatet bruges over for flere transportkunder på samme platform?