Et rengøringsfirma, et vagtselskab, en vognmand eller en tømrer kan få det samme NIS2-brev fra en kunde som kundens IT-leverandør. Brevet spørger måske til penetrationstest, sårbarheder og hændelser, selv om I ikke leverer noget IT. Svaret hviler på Styrelsen for Samfundssikkerheds vejledning om foranstaltninger, som nævner, at kundens leverandørstyring også gælder andre kritiske leverancer end IT, men at kravene skal stå i forhold til leverancens betydning. For jer betyder det: kunden er bekymret for den adgang, I har, ikke for systemer, I ikke har. En penetrationstest giver ikke mening, når der ikke er et system hos jer at teste.
NIS2 er EU’s regler om cybersikkerhed, og i Danmark er de gennemført i NIS 2-loven. Teksten er ikke juridisk rådgivning.
Hvorfor I har fået brevet
En kunde, der er omfattet af NIS 2-loven, skal efter § 6, stk. 1, nr. 4, have styr på sikkerheden i forholdet til sine direkte leverandører. SAMSIK skriver i afsnit 4 i vejledningen om foranstaltninger, at det gælder både IT og andre kritiske leverancer som strøm og teknisk bistand. Samme afsnit siger, at kravene bør være forholdsmæssige, så kunden undgår unødigt høje krav.
Det er derfor forståeligt, at kunden sender et brev til alle leverandører. Det er lige så forståeligt, at brevet ikke passer til jer. SAMSIK’s vejledning om anvendelsesområdet, afsnit 8, siger, at kunden ikke behøver at stille præcis de samme krav til leverandører, som kunden selv er underlagt. → Sådan læser I kundens NIS2-krav
Det, kunden reelt kan være bekymret for
Når I ikke leverer IT, handler kundens risiko om adgang. Den kan have flere former:
- Nøgler og adgangskort · til bygninger, kontorer og måske rum, hvor kundens servere eller netudstyr står.
- Tid uden opsyn · rengøring eller vagtrunder uden for arbejdstid, hvor få andre er til stede.
- Kundens konti · en mailadresse, en portal til vagtrapporter eller et system til at bestille opgaver.
- Udstyr fra kunden · en håndterminal (en lille håndholdt computer til scanning eller registrering) eller en telefon med kundens app.
- Kendskab · viden om, hvor tingene står, hvornår der er tomt, og hvordan alarmen virker.
Bilaget til gennemførelsesforordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere, beskriver i punkt 13.3 kundens egen perimeterkontrol og fysiske adgangskontrol til områder med net- og informationssystemer. Jeres nøgler og kort er en del af den kontrol, men kontrollen er kundens. → Serviceteknikere og arbejde på stedet
Rimelig dokumentation, når I ikke har IT at teste
Det, I kan dokumentere, er jeres egne rutiner omkring den adgang, I har fået. Forordningens punkt 5.1.4 nævner bl.a. krav til medarbejdernes oplysning og uddannelse (litra b), baggrundskontrol (litra c), besked om hændelser (litra d) og forpligtelser ved kontraktens ophør (litra h). Ingen af dem kræver en penetrationstest. Et svar kan rumme:
- En liste over medarbejdere med adgang · hvem har nøgler, kort eller kundens konti, og hvem godkender det.
- Udlevering og inddragelse · hvordan nøgler og kort kommer tilbage, når en medarbejder stopper.
- Bortkomne nøgler og kort · hvordan og hvor hurtigt I giver kunden besked.
- Brug af kundens konti og udstyr · regler for adgangskoder, og hvem der må bruge håndterminalen.
- Instruktion · hvad medarbejderne får at vide om kundens regler, fx at døre ikke holdes åbne for fremmede.
Svar kort og konkret. Et halvt A4-ark om de punkter, der passer til jeres leverance, er mere brugbart for kunden end et udfyldt skema med “ikke relevant” i hver anden linje.
Når en penetrationstest ikke er svaret
En penetrationstest er en kontrolleret afprøvning af IT-systemer. Har I ikke systemer, kunden er afhængig af, er der intet at teste hos jer. Adgangskortsystemet, alarmen og portalen tilhører kunden, og I kan ikke give lov til, at de testes.
Kunden kan i stedet vælge at teste sin egen fysiske sikring eller sine egne medarbejderes og leverandørers reaktion, fx om en person uden kort kan følge med ind. Det er kundens test af kundens kontroller, og I bør vide på forhånd, om jeres medarbejdere kan indgå i den. → Kunden vil teste jeres medarbejdere
Skriv tydeligt til kunden, at I ikke leverer IT, og at I derfor svarer på de punkter, der handler om adgang og personale. → Når en test ikke er svaret
Hvis I alligevel har lidt IT
Nogle leverandører uden en IT-leverance har alligevel et planlægningsprogram, en app til tidsregistrering eller mail på medarbejdernes telefoner. Det behøver ikke at være noget, kunden er afhængig af. Men hvis jeres program indeholder kundens alarmkoder, plantegninger eller adgangslister, eller hvis jeres medarbejdere logger ind i kundens systemer fra jeres telefoner, kan det være en del af det, kunden spørger til. Så er det et spørgsmål om et lille, afgrænset omfang. → Lille leverandør med få systemer
Hvis kunden også er kritisk enhed
Nogle kunder er udpeget som kritiske enheder efter CER-loven. Den lov handler om fysisk modstandsdygtighed. § 6, stk. 1, nr. 5, nævner bl.a. kategorier af eksternt personale og adgangsrettigheder til lokaler, og § 9 handler om de regler, vedkommende minister fastsætter om, hvornår en kritisk enhed kan få foretaget baggrundskontrol af personer med direkte adgang eller fjernadgang til enhedens lokaler, oplysninger eller kontrolsystemer. Det kan ramme jeres medarbejdere, men det er ikke en IT-test. → CER-loven og leverandøren
Det skal I lade være med
- At bestille en penetrationstest for at kunne svare ja · den tester systemer, I ikke har.
- At ignorere brevet · kunden skal kunne vise, at alle leverandører er vurderet.
- At svare “ikke relevant” uden forklaring · skriv, hvad I leverer, og hvilken adgang I har.
- At love sikkerhed for kundens systemer · nøglesystemet og alarmen er kundens.
- At glemme inddragelsen af kort · det er et punkt, kunden har god grund til at spørge til.
Hvad kan og ikke kan konkluderes
En beskrivelse af jeres rutiner for nøgler, kort, konti og medarbejdere kan vise kunden, at den adgang, I har fået, er styret. Den kan ikke vise, at kundens egen fysiske sikring virker, og den er ikke en test. Om kundens krav til jer er rimelige, afhænger af kundens vurdering af leverancen og af, hvad I aftaler.
Tjekliste til svaret på kundens brev
- ☐ Står det tydeligt, hvad I leverer, og at det ikke er IT?
- ☐ Er al adgang, I har fået, beskrevet: nøgler, kort, konti og udstyr?
- ☐ Er udlevering og inddragelse af nøgler og kort beskrevet?
- ☐ Er det klart, hvordan kunden får besked om bortkomne kort eller hændelser?
- ☐ Er eventuel egen IT med kundens oplysninger nævnt?
- ☐ Har I spurgt, om kunden også er kritisk enhed?
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4.
- SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om andre kritiske leverancer end IT og forholdsmæssige krav.
- SAMSIK, vejledning om anvendelsesområdet (maj 2025): afsnit 8 om krav til leverandører.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra b, c, d og h, og punkt 13.3.
- CER-loven, lov nr. 433 af 6. maj 2025: § 6, stk. 1, nr. 5, og § 9.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Freelancekonsulent med adgang hos en NIS2-kunde · Forholdsmæssige krav
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
