En klausul som “Leverandøren overholder NIS2” eller “Leverandøren sikrer, at kunden kan opfylde sine forpligtelser efter NIS2” er kort at læse og svær at vurdere. Hvad den forpligter jer til, kan afhænge af aftalen som helhed og af, om I selv er omfattet af loven, og det er en vurdering for jeres egen advokat. Det, der kan beskrives her, er to ting: hvilke spørgsmål I bør have afklaret, før I skriver under, og hvordan I kan foreslå konkrete forpligtelser om test i stedet for et generelt løfte.
Teksten er ikke juridisk rådgivning og tager ikke stilling til, hvad en bestemt klausul betyder, eller hvordan en tvist ville ende.
Hvorfor klausulen dukker op
NIS 2-loven gælder efter § 1 for offentlige og private enheder af de typer, der står i lovens bilag 1 og 2, og §§ 4 og 5 afgør, om en enhed er væsentlig eller vigtig. Pligten til at træffe foranstaltninger efter § 6, stk. 1, ligger hos disse enheder. Er jeres kunde omfattet, skal kunden blandt andet have foranstaltninger for forsyningskædesikkerhed efter nr. 4.
Styrelsen for Samfundssikkerhed (SAMSIK) nævner i sin vejledning om foranstaltninger, afsnit 4, at aftaler med leverandører kan indeholde krav om, at leverandøren og det leverede følger relevante sikkerhedskrav, lovkrav og standarder. En kunde, der skriver “overholder NIS2”, gør altså ikke noget usædvanligt. Spørgsmålet er, hvad kunden mener, og om ordlyden siger det. Kunden kan også have en henvisning fra ENISA’s tekniske vejledning i baghovedet: den skriver i en note til punkt 5.1.4, at enheden forbliver fuldt ansvarlig for integritet, tilgængelighed og fortrolighed i de tjenester, leverandørerne leverer. → Er vi selv omfattet af NIS2?
Tre måder at læse løftet på
Samme ord kan dække over forskellige forventninger. Det er værd at spørge kunden, hvilken af disse der er ment:
- I skal selv efterleve lovens krav · som om I var en omfattet enhed, også hvis I ikke er det.
- I skal sikre kundens overholdelse · en forpligtelse, der knytter sig til kundens egne pligter og kundens egne systemer.
- I skal bidrage til kundens overholdelse · med bestemte ydelser, oplysninger og dokumentation, kunden har brug for.
SAMSIK’s vejledning om anvendelsesområdet, afsnit 8, siger, at en NIS2-kunde ikke behøver at stille præcis de samme krav til leverandøren, som kunden selv er underlagt, og at kravene kan bygge på en vurdering af leverancens risiko. Det afgør ikke, hvad I kan aftale, men det giver et sagligt udgangspunkt for at spørge, om kunden i virkeligheden mener den tredje læsning. → Hvad en NIS2-kunde ikke kan forvente
Spørgsmål til jeres egen rådgiver
Før I skriver under, kan det være nyttigt at få jeres advokat til at se på disse spørgsmål:
- Anvendelse · er I selv omfattet af loven, og ændrer det, hvad klausulen kan betyde for jer?
- Rækkevidde · henviser klausulen til loven, til bekendtgørelser, til gennemførelsesforordning (EU) 2024/2690 eller til kundens egne politikker?
- Ændringer · hvad sker der, hvis reglerne eller kundens fortolkning ændres i aftaleperioden?
- Ansvar · hvordan spiller klausulen sammen med aftalens bestemmelser om ansvar og ansvarsbegrænsning?
- Bevis · hvad skal I kunne fremlægge for at vise, at forpligtelsen er opfyldt?
- Forsikring · har klausulen betydning for jeres forsikringsforhold? Det er et spørgsmål til forsikringsrådgiveren.
Svarene afhænger af aftalen og af jeres forhold, og de bør ikke hentes fra en artikel.
Konkrete testforpligtelser i stedet
Testen er det område, hvor et konkret modforslag er nemmest at skrive. En forpligtelse om test kan skrives, så begge parter kan se, om den er opfyldt. Bilaget til forordning 2024/2690, som gælder direkte for bestemte digitale udbydere og bruges som model af andre, nævner i punkt 5.1.4 bl.a. cybersikkerhedskrav til leverandøren (litra a), retten til audit eller auditrapporter (litra e) og en forpligtelse til at håndtere sårbarheder (litra f). Et forslag til testforpligtelser kan bygge på de tre:
- Hvad testes · den del af leverancen, kunden er afhængig af, beskrevet med kundens betegnelser.
- Hvornår · et aftalt interval og de ændringer, der udløser en ny test.
- Hvem tester · krav til testerens uafhængighed, hvis kunden ønsker det.
- Hvad afleveres · et resumé eller en rapport med type, omfang, tidspunkt, fund og status.
- Hvad sker med fund · frist for besked til kunden og for en plan, når et alvorligt fund rammer kundens del.
→ Krav om årlig penetrationstest i leverandøraftalen
Sådan kan forslaget lægges frem
Spørg først kunden, hvad klausulen skal sikre. Er svaret, at kunden skal kunne vise sin myndighed, at leverandøren er fulgt op, kan et bilag med testforpligtelser og dokumentationskrav ramme formålet mere præcist end et generelt løfte. Henvis gerne til punkt 5.1.4 som baggrund, så kunden kan se, at forslaget følger en kendt struktur.
Et tænkt eksempel: En leverandør af et vagtplansystem til en region får et udkast med sætningen “Leverandøren skal overholde NIS 2-loven”. Leverandøren spørger regionen, hvad sætningen skal dække, og får at vide, at regionen skal kunne dokumentere opfølgning på leverandøren. Leverandøren sender et udkast til et testbilag og beder samtidig sin advokat vurdere den oprindelige sætning. Hvad parterne ender med, er et forhandlingsspørgsmål.
Lad jeres advokat formulere, hvordan bilaget forholder sig til den generelle klausul, hvis kunden vil beholde begge. Det er et juridisk spørgsmål, om bilaget præciserer klausulen, erstatter den eller står ved siden af. → Forordningens kontraktpunkter
Det skal I lade være med
- At skrive under, før I ved, hvad løftet dækker · spørg kunden og jeres rådgiver først.
- At afvise klausulen med en henvisning til vejledningen alene · kunden har en grund til at spørge.
- At lade testrapporten stå som bevis for overholdelse · en test viser en afgrænset afprøvning. → Hvad testdokumentationen ikke kan bevise
- At love test af systemer, I ikke ejer · tilladelsen ligger hos ejeren.
- At forhandle jura gennem salgsteamet · lad den kontraktansvarlige og rådgiveren føre ordet.
Hvad kan og ikke kan konkluderes
Lovens anvendelsesområde og SAMSIK’s vejledning giver en baggrund for at spørge, hvad en NIS2-klausul skal sikre, og for at foreslå konkrete forpligtelser om test. De afgør ikke, hvad en bestemt klausul betyder, om den er rimelig, eller hvilke følger den kan få. Det beror på aftalen og på en juridisk vurdering. Ledelsens ansvar for de løfter, virksomheden giver kunderne, er et emne for sig på sikkerhedstesten.dk.
Tjekliste før I svarer på klausulen
- ☐ Har I spurgt kunden, hvad klausulen skal sikre?
- ☐ Ved I, om I selv er omfattet af loven?
- ☐ Har jeres advokat set ordlyden og aftalens ansvarsbestemmelser?
- ☐ Har I et udkast til konkrete testforpligtelser klar?
- ☐ Omfatter forslaget kun systemer, I selv ejer eller har lov at få testet?
- ☐ Er kundens svar og jeres forslag gemt sammen med aftalen?
Er I og kunden uenige om ordlyden efter forhandlingen, er det et aftalespørgsmål. → Uenighed med kunden
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 1, §§ 4 og 5 og § 6, stk. 1, nr. 4.
- SAMSIK, vejledning om anvendelsesområdet (maj 2025): afsnit 8 om krav til leverandører.
- SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om eksempler på afsnit i aftaler med leverandører.
- Gennemførelsesforordning (EU) 2024/2690: artikel 1 og bilagets punkt 5.1.4, litra a, e og f.
- ENISA, NIS2 Technical Implementation Guidance (juni 2025): note 43 under punkt 5.1.4 om enhedens ansvar for leverandørers tjenester (vejledning, ikke bindende).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Forholdsmæssige krav · Når kravet er uklart
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
