NIS2 kort fortalt for leverandører: reglerne, der når jer gennem kunden

NIS2 er EU’s regler om cybersikkerhed i virksomheder og myndigheder, som samfundet er afhængigt af. Reglerne pålægger dem at styre risikoen ved deres it, at underrette om alvorlige hændelser og at have styr på deres leverandører. Det sidste er grunden til, at NIS2 når jer, selv om I måske slet ikke er omfattet.

Siden giver det korte svar på grundspørgsmålene: hvad NIS2 er, hvilke tekster der findes, hvornår de gælder, hvem de gælder for, og hvordan de bliver til et krav til en leverandør. Hvert afsnit peger videre til en artikel, der går i dybden. Teksten er ikke juridisk rådgivning.

Hvad NIS2 er

NIS2 er kortnavnet for direktiv (EU) 2022/2555 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen. Navnet kommer af “net- og informationssystemer”, og tallet viser, at det er anden udgave. Direktivet afløser det første NIS-direktiv, (EU) 2016/1148, og udvider kredsen af sektorer og virksomheder.

Formålet er, at virksomheder og myndigheder i vigtige sektorer har et ensartet minimum af sikkerhed i hele EU, og at myndighederne kan føre tilsyn med det. Det handler om organisationernes egen sikkerhed, ikke om at certificere produkter.

Direktiv, lov og forordning

NIS2 findes i tre slags tekster. Direktivet er rettet til medlemsstaterne, som skal skrive reglerne ind i deres egen lovgivning. I Danmark er det sket med lov nr. 434 af 6. maj 2025, NIS 2-loven, som er den tekst, en dansk kunde som udgangspunkt skal følge. Kommissionens gennemførelsesforordning (EU) 2024/2690 gælder direkte, men kun for bestemte digitale udbydere som cloud, datacentre og administrerede tjenester.

Dertil kommer vejledninger fra myndighederne, fx fra Styrelsen for Samfundssikkerhed. De forklarer reglerne, men binder ikke. → Direktiv, lov og forordning: hvilken tekst gælder for jeres kunde?

Hvornår reglerne gælder

Direktivet gav medlemsstaterne frist til 17. oktober 2024 til at gennemføre det. Den danske NIS 2-lov trådte i kraft 1. juli 2025, og fra den dag har danske kunder i lovens sektorer skullet leve op til den. Forordning 2024/2690 er af 17. oktober 2024 og gælder for de digitale udbydere, den omfatter. → NIS 2-loven i Danmark

For en leverandør betyder datoerne, at krav med henvisning til NIS2 kan dukke op i nye aftaler og i opfølgningen på eksisterende. Kunden skal kunne vise sin myndighed, at leverandørerne er vurderet, og det gør kunden ved at spørge jer.

Hvem der er omfattet

Loven gælder for offentlige og private enheder i de sektorer, lovens bilag 1 og 2 nævner, fx energi, transport, sundhed, drikkevand, digital infrastruktur, fødevarer og dele af fremstillingsindustrien. Størrelsen tæller med. En enhed af en type i bilagene er vigtig enhed, hvis den beskæftiger mindst 50 personer eller har både en årlig omsætning og en årlig samlet balance på over 10 mio. euro (§ 5). Er typen nævnt i bilag 1, er enheden væsentlig fra 250 ansatte eller med en omsætning på over 50 mio. euro og en balance på over 43 mio. euro (§ 4, stk. 1). Nogle enheder er omfattet uanset størrelse, fx DNS-tjenesteudbydere, kvalificerede tillidstjenesteudbydere, den centrale forvaltning og kritiske enheder efter CER-loven (§ 4, stk. 3). Forskellen mellem væsentlige og vigtige enheder påvirker især tilsynet. → Bilag 1 og 2

Om netop jeres virksomhed er omfattet, kræver en konkret vurdering af sektor og størrelse. Er I en MSP, en cloududbyder eller et datacenter, kan I være omfattet selv. Er I fx et softwarehus eller en installatør uden for lovens sektorer, rammer reglerne jer kun gennem kunden. → Er vi selv omfattet af NIS2, eller er det kun kunden?

Hvad de omfattede skal

De omfattede enheder skal have foranstaltninger til at styre risikoen ved deres net- og informationssystemer. NIS 2-lovens § 6 nævner ti af dem, fra risikoanalyse og hændelseshåndtering over forsyningskædesikkerhed til kryptering og multifaktorlogin. Ledelsen skal godkende foranstaltningerne efter § 7, og væsentlige hændelser skal underrettes efter § 12. Enhederne skal også registrere sig hos myndighederne. → NIS 2-lovens § 6

Tilsynet med enhederne er fordelt på flere myndigheder efter sektor. Bekendtgørelse nr. 620 af 2. juni 2025 fastlægger, hvilken myndighed der er kompetent for hvilken sektor, og Styrelsen for Samfundssikkerhed er bl.a. myndighed for kommunerne. Væsentlige enheder kan få tilsyn, også uden at der er mistanke om fejl, mens tilsynet med vigtige enheder sker, når der er tegn på, at loven ikke overholdes. Det er kundens tilsyn, ikke jeres, men det er derfor, kunden vil have dokumentation, der kan fremlægges. → Hvem fører tilsyn med jeres kunde?

Hvorfor kravet når jer

To af de ti foranstaltninger forklarer kravet til leverandøren. § 6, stk. 1, nr. 4, handler om sikkerheden i forsyningskæden, herunder forholdet til de direkte leverandører. Nr. 6 handler om procedurer til at vurdere, om foranstaltningerne er effektive. Lovbemærkningerne nævner sårbarhedsscanninger og penetrationstest som eksempler på tekniske test. Når kunden beder jer om en test, er det kundens måde at opfylde de to punkter på. → Hvorfor kunden kræver en test

Det er værd at huske, at loven ikke pålægger leverandøren noget direkte. Kravet til jer kommer fra aftalen med kunden. Loven fastsætter heller ikke en bestemt testtype eller et fast interval, se Det, NIS2 ikke siger om penetrationstest.

NIS2, DORA og CER

Tre EU-regelsæt dukker op sammen i kundebreve og søgninger. DORA, forordning (EU) 2022/2554, gælder den finansielle sektor og har fundet anvendelse siden 17. januar 2025. NIS 2-loven holder enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed uden for, så en finansiel kunde stiller som udgangspunkt krav til jer efter DORA og ikke efter NIS2. → Leverandør til finanssektoren

CER er direktiv (EU) 2022/2557 om kritiske enheders modstandsdygtighed, i Danmark gennemført ved CER-loven, lov nr. 433 af 6. maj 2025. Det handler om den samlede modstandsdygtighed hos enheder, der leverer væsentlige tjenester, også over for fysiske trusler som naturkatastrofer og sabotage. CER-loven gælder ikke for forhold, der er omfattet af NIS 2-loven, og NIS2-direktivet gælder uanset størrelse for enheder, der er identificeret som kritiske efter CER. For en it-leverandør er det som udgangspunkt NIS2-delen, der giver krav om test. Begreberne står i ordlisten.

Det skal I lade være med

At tro, at NIS2 gælder jer, fordi kunden er omfattet · kravet kommer fra aftalen.
At henvise til direktivet, når kunden er dansk · det er NIS 2-loven, der binder kunden.
At bruge forkerte navne på loven · henvis til lov nr. 434 af 6. maj 2025.
At blande NIS2 og DORA sammen · en finansiel kunde har sine egne regler.
At afvise kravet, fordi loven ikke nævner leverandøren · kunden skal vurdere jer efter § 6.

Hvad kan og ikke kan konkluderes

Med grundbegreberne på plads kan I læse kundens krav og se, hvor det kommer fra. I kan ikke ud fra denne oversigt afgøre, om I selv er omfattet, eller hvad kunden kan kræve i jeres aftale. Det første kræver en konkret vurdering, det andet afhænger af kundens risikovurdering og af forhandlingen. Brug siden som indgang og artiklerne som næste skridt.