Leverandør til drikkevand og spildevand

Et vandværk eller et spildevandsselskab, der beder sin leverandør om dokumentation for sikkerhedstest, kan læne sig op ad to vejledninger fra Miljøstyrelsen. Som leverandør af styring, fjernadgang, overvågning eller almindelig IT til forsyningen får I et lettere svar, hvis I kender dem. Grundlaget er punkt 6 og 7 i NIS 2-lovens bilag 1, bekendtgørelse nr. 620 af 2. juni 2025, § 11, og Miljøstyrelsens vejledning nr. 87 om foranstaltninger fra april 2026, der nævner penetrationstest blandt flere testformer.

Kort sagt forventer kunden ikke én bestemt test af jer. Kunden skal styre sine leverandører efter risiko, og jo tættere I er på driften, jo mere vil kunden vide. Teksten er ikke juridisk rådgivning.

Hvilke forsyninger der er omfattet

Bilag 1 nævner leverandører og distributører af drikkevand i punkt 6 og virksomheder, der indsamler, bortskaffer eller behandler spildevand, i punkt 7. Begge punkter undtager virksomheder, hvor aktiviteten kun er en ikkevæsentlig del af forretningen. For drikkevand gælder undtagelsen distributører.

Miljøstyrelsens vejledning om anvendelsesområdet fra august 2025 går et skridt videre. Styrelsen vurderer, at alle spildevandsforsyninger omfattet af vandsektorlovens § 2, stk. 1, også er omfattet af NIS 2-loven. For drikkevand angiver styrelsen, at forsyninger med en debiteret vandmængde på 800.000 m³ eller mere om året i to år i træk bør være omfattet, og at levering til fx større hospitaler eller plejehjem også kan føre dertil. Det er styrelsens vurdering, og den konkrete afgørelse ligger hos forsyningen selv.

Nogle forsyningskoncerner har også fjernvarme. Den del hører under loven om styrket beredskab i energisektoren, som efter dens § 2 bl.a. gælder operatører af fjernvarme, og NIS 2-loven gælder efter § 1, stk. 2, ikke i det omfang en enhed er omfattet af den lov. En leverandør til en multiforsyning kan derfor møde to regelsæt hos samme kunde. → Leverandør til energisektoren

Miljøstyrelsen er kundens myndighed

Efter bekendtgørelsens § 11, nr. 1 og 2, er Miljøstyrelsen kompetent myndighed for sektorerne drikkevand og spildevand. Styrelsen har udgivet to sektorvejledninger, som supplerer de tværgående vejledninger fra Styrelsen for Samfundssikkerhed. Den ene handler om, hvem der er omfattet. Den anden, nr. 87, handler om de ti foranstaltninger i lovens § 6, stk. 1, og er skrevet ud fra vandsektorens kendetegn.

Begge vejledninger er rettet til forsyningen og ikke til jer. På spørgsmålet om leverandører henviser styrelsen til de generelle vejledninger fra Styrelsen for Samfundssikkerhed. Men vejledning nr. 87 viser, hvad forsyningens myndighed lægger vægt på, og det farver de krav, der lander hos jer. → Hvem fører tilsyn med jeres kunde?

Hvilke leverandører kunden kigger nærmest på

Under forsyningskædesikkerhed anbefaler Miljøstyrelsen, at forsyningen vurderer, om den enkelte leverandørs praksis passer til forsyningens sikkerhedsbehov. Styrelsen nævner særligt leverandører, der leverer tjenester, som er afgørende for krisestyringen, som udgør et kritisk enkeltpunkt, eller som har adgang til kritiske aktiver. Som eksempel nævnes VPN-udbyderes adgang til den digitale infrastruktur.

Det rammer bl.a. disse leverandører:

Styring og automation · leverandøren af det anlæg, der styrer boringer, pumper og renseprocesser.
Fjernadgang og service · den forbindelse, I bruger, når I fejlsøger eller opdaterer udstyret.
Overvågning og alarmer · systemer, der fortæller vagten, at noget er galt.
Drift af IT · servere, netværk og brugere på administrationssiden, som styringen kan være forbundet med.

Styrelsen skriver også, at tredjeparts revisorerklæringer kan være et hjælpsomt redskab for forsyningen. En erklæring og en testrapport svarer på forskellige spørgsmål, så kunden kan bede om begge. → Kunden har klassificeret jer som kritisk leverandør

Hvad vejledningen siger om test

Afsnittet om effektivitet af foranstaltninger anbefaler, at forsyningen bruger flere test og vurderingsmetoder, fordi ingen enkelt metode belyser det hele. Styrelsen skriver, at udvalgte test kræver teknisk erfaring og kan udføres af eksterne tredjeparter, og at forsyningen da skal følge sine egne regler for forsyningskædesikkerhed.

Listen i vejledningen omfatter bl.a. penetrationstest af det digitale forsvar for at finde ukendte sårbarheder, test af logning, detektion og hændelseshåndtering, gennemgang af aktiver, konfiguration og arkitektur, sårbarhedshåndtering ud fra leverandørinformation og passive scanninger samt test af overgang til ødrift og manuel drift. For jer betyder det, at kunden kan spørge til mere end en penetrationstest. Informationer om sårbarheder i jeres udstyr og hjælp til at afprøve manuel drift er også en del af billedet. → Sårbarhedsscanning eller penetrationstest

Styringen er i centrum

Miljøstyrelsen skriver, at vejledning nr. 87 er centreret om beskyttelse af OT-systemer og den IT, der hører til dem. Styrelsen anbefaler IEC 62443 som supplement til den overordnede standard og anbefaler segmentering af forsyningens netværk for at beskytte OT. Det betyder, at jeres udstyr og jeres adgang til det sandsynligvis står højt på kundens liste.

En test af styringen skal tilrettelægges, så forsyningen ikke mister vand eller rensning undervejs. Aftal derfor, hvad der afprøves på det kørende anlæg, hvad der afprøves i et testmiljø eller på reservedele, og hvem hos kunden der kan stoppe testen. Grænsen mellem IT og OT og testens tekniske tilrettelæggelse set fra IT-afdelingen hører hjemme på penetration-test.dk. → Produktionsudstyr og OT

Et tænkt eksempel

En leverandør af styringsanlæg servicerer tre vandværker og et renseanlæg via en central fjernadgang. Renseanlæggets selskab beder om dokumentation for test af den adgang. Leverandøren får testet fjernadgangen og den server, den går igennem, i et aftalt tidsrum, mens anlæggenes styringer kun indgår ved en gennemgang af opsætning og netværksadskillelse. Kunden får et resumé med omfang, tidspunkt, resultat og status på rettelser og en kort beskrivelse af, hvordan leverandøren melder sårbarheder i udstyret. Resuméet kan genbruges over for vandværkerne, fordi adgangen er fælles.

Det skal I lade være med

At teste styringen i drift uden aftale med en driftsansvarlig · forsyningen må ikke stoppe.
At svare med en revisorerklæring alene, når kunden spørger til test · de to dækker forskellige spørgsmål.
At glemme fjernadgangen · Miljøstyrelsen nævner adgang til kritiske aktiver særskilt.
At henvise til NIS 2-loven, når kravet gælder fjernvarmen · energidelen har sin egen lov.
At love, at forsyningen dermed lever op til loven · den vurdering ligger hos kunden og myndigheden.

Hvad kan og ikke kan konkluderes

Miljøstyrelsens vejledninger viser, hvad forsyningens myndighed forventer, og hvorfor jeres adgang og udstyr kommer i fokus. En test af det, forsyningen er afhængig af hos jer, kan vise, hvad der kunne lade sig gøre på testtidspunktet. Den afgør ikke, om forsyningen er omfattet, og den dækker ikke dele, der blev afprøvet på anden måde eller slet ikke.

Tjekliste til en vandkunde

☐ Ved I, om kunden er drikkevand, spildevand eller begge, og om der også er fjernvarme?
☐ Kender I Miljøstyrelsens vejledning nr. 87 og afsnittet om effektivitet?
☐ Er fjernadgang og serviceforbindelser med i omfanget?
☐ Er det aftalt, hvad der afprøves på det kørende anlæg?
☐ Kan I beskrive, hvordan I melder sårbarheder i jeres udstyr?