MSP og NIS2: når driftsleverandøren selv er omfattet

En driftsleverandør, der passer servere, netværk og brugere for andre virksomheder, møder NIS2 fra to sider. Kunderne sender krav ned gennem kæden, og loven kan samtidig gælde for driftsleverandøren selv. Svaret på, hvad det betyder for testen, hviler på tre tekster: NIS 2-lovens bilag 1, punkt 9, som nævner udbydere af administrerede tjenester, lovens definition i § 3, nr. 34, og gennemførelsesforordning (EU) 2024/2690, som gælder for netop den type udbyder.

Er I omfattet, er sikkerhedstest ikke længere kun noget, I gør for at svare en kunde. Det er en del af jeres egne forpligtelser, og omfanget bestemmes først og fremmest af jeres egen risikovurdering. Selve vurderingen af, om I er omfattet, er en opgave for jer og jeres rådgivere og ligger uden for dette site. Teksten er ikke juridisk rådgivning.

Definitionen, læst af en driftsleverandør

§ 3, nr. 34, beskriver en udbyder af administrerede tjenester som en enhed, der leverer tjenester i forbindelse med installation, administration, drift eller vedligeholdelse af ikt-produkter, net, infrastruktur, applikationer eller andre net- og informationssystemer, via assistance eller aktiv administration, enten i kundernes lokaler eller på afstand. Bilag 1, punkt 9, har overskriften forvaltning af ikt-tjenester mellem virksomheder.

Om en enhed er omfattet, afhænger også af størrelsen efter lovens §§ 4 og 5 og af reglerne om jurisdiktion. Efter § 2, stk. 2, hører udbydere af administrerede tjenester under dansk jurisdiktion, hvis de har deres hovedforretningssted i Danmark. Digitaliseringsstyrelsen oplyser på sin side om kravene, at det er hele enheden, altså CVR-nummeret, der er omfattet, også hvis tjenesten kun er en mindre del af forretningen. → Bilag 1 og 2

Hvilke regler gælder så?

For de digitale udbydere, herunder administrerede tjenester og administrerede sikkerhedstjenester, fastsætter forordning 2024/2690 de tekniske og metodologiske krav til foranstaltningerne. Digitaliseringsstyrelsen skriver, at disse enheder skal følge forordningen i stedet for lovens generelle krav til foranstaltninger og hændelsesrapportering. Forordningens bilag har et eget punkt 6.5 om sikkerhedstest, som beskrives nærmere i en særskilt artikel. → Forordningen og MSP’en

Forordningens artikel 10 beskriver, hvornår en hændelse er væsentlig for en udbyder af administrerede tjenester. Et af kriterierne er, at tjenesten er fuldstændig utilgængelig i mere end 30 minutter. Det er en grund til, at testvinduer og testens påvirkning af driften skal planlægges omhyggeligt hos en omfattet driftsleverandør.

Ifølge bekendtgørelse nr. 620 af 2. juni 2025, § 6, nr. 2, er Digitaliseringsstyrelsen kompetent myndighed for udbydere af administrerede tjenester og administrerede sikkerhedstjenester. → Digitaliseringsstyrelsen som tilsyn

Hvad der flytter sig i testen

Når kravet kommer fra en kunde, er udgangspunktet den leverance, kunden er afhængig af. Når I selv er omfattet, er udgangspunktet jeres egne net- og informationssystemer, også dem, ingen enkelt kunde ser. For en driftsleverandør kan det være de systemer, hvorfra mange kunder administreres:

Fjernadministration · værktøjerne og forbindelserne, I bruger til at nå kundernes miljøer.
Privilegerede konti · konti med rettigheder hos flere kunder og den måde, de beskyttes på.
Opbevaring af adgangsoplysninger · hvor I gemmer de oplysninger, der giver adgang hos kunderne.
Fælles platforme · overvågning, backup og hosting, som flere kunder deler.
Jeres eget kontornet · da en svaghed dér kan føre videre til kunderne.

Det er netop de systemer, hvor en svaghed kan ramme mange kunder på én gang. → Test af MSP’ens fjernadministration

To roller, én plan

Som omfattet driftsleverandør skal I både opfylde jeres egne krav og svare kunder, der selv er omfattet. Det kan samles i én plan, hvis det fremgår, hvilket formål hver test har. En test af den fælles platform kan dække jeres egen pligt og samtidig give kunderne et svar om den del, de deler. Kundespecifikke opsætninger kan kræve et tillæg.

Kunderne kan have ret til at få resultater, der angår dem, men ikke resultater om andre kunder. Planlæg derfor dokumentationen, så den kan deles op efter modtager. Jeres egen myndighed kan bede om at se dokumentationen for jeres foranstaltninger, mens en kunde kun har brug for den del, der angår kundens leverance. Når den samme test skal bruges begge steder, bør rapporten fra starten være opbygget, så afsnittene kan afleveres hver for sig uden at blive skrevet om. → MSP’ens kunder kræver hver deres test

Et tænkt eksempel

En mellemstor driftsleverandør passer servere og brugere for en række mellemstore virksomheder, heriblandt en fødevareproducent og et rederi, som begge er omfattet. Indtil nu har leverandøren kun bestilt test, når en kunde bad om det, og testene har handlet om kundens eget miljø. Efter en vurdering med sin rådgiver konkluderer leverandøren, at den selv er omfattet som udbyder af administrerede tjenester. Den nye testplan begynder derfor med leverandørens eget værktøj til fjernadministration, dens privilegerede konti og den fælles backupplatform. Testene lægges i vinduer, der er aftalt med kunderne. Resultaterne samles i en rapport til leverandørens egen ledelse og i korte udtræk til hver kunde om de dele, kunden bruger.

Ledelsen kort

Lovens § 7 lægger ansvar på ledelsesorganet for at godkende foranstaltningerne og føre tilsyn med, at de gennemføres. Ledelsesansvaret som helhed behandles ikke her. For testen betyder det, at ledelsen skal kende testplanen og resultaterne, og at beslutninger om at acceptere en restrisiko bør træffes af den, der har ansvaret.

Det skal I lade være med

At antage, at kun kunderne er omfattet · definitionen kan ramme jer selv.
At teste kundernes miljøer og glemme jeres egne værktøjer · det er dér, svagheder kan ramme mange.
At planlægge test uden hensyn til driften · utilgængelighed kan i sig selv blive en væsentlig hændelse.
At dele resultater på tværs af kunder · hver kunde skal kun se sit eget.
At lade vurderingen af, om I er omfattet, vente · den afgør, hvilke regler testen skal leve op til.

Hvad kan og ikke kan konkluderes

Lovens definition og bilag viser, at driftsleverandører kan være omfattet, og forordningen viser, hvilke testkrav der så gælder. De afgør ikke alene, om netop jeres virksomhed er omfattet; det kræver en vurdering af størrelse, jurisdiktion og ydelser. En test af jeres egne systemer kan vise, hvordan de modstår de afprøvede angreb på testtidspunktet, men den dokumenterer ikke, at alle forordningens krav er opfyldt. → Registrering som digital udbyder

Tjekliste for den omfattede driftsleverandør

☐ Har I vurderet, om I er udbyder af administrerede tjenester efter § 3, nr. 34?
☐ Ved I, om størrelse og jurisdiktion gør jer omfattet?
☐ Omfatter testplanen jeres egne administrationsværktøjer og privilegerede konti?
☐ Er testvinduer planlagt med hensyn til kundernes drift?
☐ Kan dokumentationen deles op efter kunde?
☐ Kender ledelsen testplanen og resultaterne?