NIS 2‑lovens § 6: de ti foranstaltninger, og hvor test hører hjemme

Når en kunde sender et skema med spørgsmål ordnet under ti overskrifter, kan det være § 6, stk. 1, i NIS 2-loven, der ligger bag. Paragraffen er kundens pligt, ikke jeres, men den bestemmer, hvad kunden spørger om. Svaret hviler på lovteksten og på SAMSIK’s vejledning om foranstaltninger, som gennemgår de ti punkter i lovens rækkefølge.

Kort sagt hører en test især hjemme under nr. 5 om sikkerhed ved erhvervelse, udvikling og vedligeholdelse og nr. 6 om vurdering af foranstaltningernes effektivitet. Under flere af de andre punkter kan en test belyse en enkelt del, fx adgangskontrol eller multifaktorlogin. Under resten er testen ikke det rigtige svar, og kunden har brug for noget andet fra jer.

Hvorfor paragraffen rækker ud til leverandørerne

§ 6, stk. 1, kræver passende og forholdsmæssige foranstaltninger for de net- og informationssystemer, kunden bruger til sin drift eller til at levere sine tjenester. SAMSIK’s vejledning understreger, at kravene gælder, uanset om kunden selv driver og vedligeholder systemerne eller har lagt drift og vedligeholdelse ud. Har kunden lagt driften hos jer, skal kunden altså stadig kunne svare for foranstaltningerne, og spørgsmålene går videre til jer.

Det forklarer også, hvorfor et skema kan spørge om ting, der ikke har med jeres egen virksomhed at gøre, men med den del af kundens systemer, I passer. → Hvilke systemer testes?

De ti punkter set fra leverandøren

Her er de ti punkter med lovens ordlyd i kort form og en vurdering af, hvad en test kan bidrage med. Vurderingen er en læsehjælp, ikke en del af loven.

Nr. 1: politikker for risikoanalyse og informationssystemsikkerhed · kunden spørger efter jeres politikker. En test kan ikke svare, men et testresultat kan indgå i kundens risikoanalyse af jer.
Nr. 2: håndtering af hændelser · kunden vil kende jeres beredskab og beskedvej. En test kan højst vise, om et angreb bliver opdaget. → Test af opdagelse
Nr. 3: driftskontinuitet, backup og krisestyring · kunden spørger til genetablering og nødprocedurer. Det dokumenteres med planer og øvelser, ikke med en penetrationstest.
Nr. 4: forsyningskædesikkerhed · det punkt, der gør jer til en del af kundens pligt. Test er én af de måder, kunden får indsigt på. → Forsyningskædesikkerhed
Nr. 5: sikkerhed ved erhvervelse, udvikling og vedligeholdelse, herunder sårbarheder · her er test et direkte svar, især ved nye leverancer og ændringer.
Nr. 6: politikker og procedurer for at vurdere effektiviteten · her nævner lovbemærkningerne tekniske test som sårbarhedsscanninger og penetrationstests.
Nr. 7: cyberhygiejne og uddannelse · kunden spørger til grundlæggende praksis og træning. En test kan afsløre manglende opdateringer, men ikke dokumentere uddannelse. → Cyberhygiejne og test
Nr. 8: kryptografi og kryptering · kunden vil vide, hvor og hvordan data er beskyttet. En test kan vise svage forbindelser, men ikke erstatte en beskrivelse.
Nr. 9: personalesikkerhed, adgangskontrol og forvaltning af aktiver · en test kan afprøve adgangskontrollen i leverancen. Personalesikkerhed og aktivoversigt kræver andre svar. → Adgangskontrol og privilegerede konti
Nr. 10: multifaktorautentificering og sikret kommunikation · en test kan vise, om multifaktorlogin faktisk er påkrævet der, hvor det skal være. → Multifaktorlogin

Nr. 5: når leverancen ændrer sig

Nr. 5 handler om sikkerhed i hele systemets levetid, fra anskaffelse over udvikling til vedligeholdelse, og nævner håndtering og offentliggørelse af sårbarheder. SAMSIK’s vejledning nævner, at en enhed kan udføre tests, der spænder fra konfigurationsgennemgange til test af den samlede sikkerhed, og at sårbarhedsscanninger bør ske med planlagte mellemrum og ved større ændringer. For en leverandør betyder det, at kunden kan ønske at se test knyttet til tidspunkter: når leverancen sættes i drift, og når den ændres væsentligt.

Nr. 6: hvor penetrationstesten står

Nr. 6 er det punkt, hvor lovbemærkningerne (lovforslag L 141, s. 92) nævner tekniske test som eksempel, og SAMSIK citerer dem i sin vejledning. Ordet står ikke i selve paragraffen. Kunden skal have en politik og procedurer for at vurdere, om foranstaltningerne virker, og for at vurdere behovet for tekniske test. Når kunden beder jer om en penetrationstest, kan det være kundens måde at vise, at en foranstaltning over for leverandøren er afprøvet. → SAMSIK’s vejledning om tekniske test

Paragraffens andre stykker og forordningen

§ 6 har tre stykker. Stk. 2 handler om, hvad kunden skal gøre, hvis en foranstaltning ikke lever op til kravene: korrigere uden unødigt ophold. Stk. 3 giver den ansvarlige minister mulighed for at fastsætte nærmere regler om foranstaltningerne. Følger I med i, om der kommer sådanne regler for kundens sektor, ved I også, om spørgsmålene til jer kan ændre sig.

For bestemte digitale udbydere, fx cloud, datacentre og MSP’er, gælder desuden gennemførelsesforordning 2024/2690 direkte. SAMSIK’s vejledning skriver, at forordningen stiller højere krav end § 6. Er kunden en sådan udbyder, kan spørgsmålene til jer derfor være mere detaljerede, fx om testmetode og dokumentation af hvert fund. → Forordning 2024/2690

Et tænkt eksempel

En leverandør af et adgangssystem til en havn får et skema med ti afsnit, ét for hvert punkt i § 6. Leverandøren lægger sin seneste testrapport under nr. 5 og 6 og henviser til den under nr. 9 og 10, fordi testen omfattede login til administrationen. Under nr. 2, 3 og 7 svarer leverandøren med sine procedurer og skriver, at testen ikke dækker de emner. Kunden får et skema, hvor hvert svar hviler på det rigtige grundlag.

Det skal I lade være med

At sende testrapporten som svar under alle ti punkter · den er relevant for nogle og irrelevant for andre.
At tro, at § 6 gælder jer, fordi kunden citerer den · den gælder jer kun, hvis I selv er omfattet.
At udelade punkter, I ikke kan svare på · skriv, hvad I har, og hvad der mangler.
At love, at jeres leverance opfylder § 6 · det er kundens foranstaltninger, paragraffen handler om.
At overse, om kunden er en digital udbyder · så kan forordningens mere detaljerede krav ligge bag spørgsmålene.

Hvad kan og ikke kan konkluderes

§ 6 forklarer, hvilke emner kunden skal have styr på, og dermed hvilke spørgsmål I kan forvente. Paragraffen siger ikke, hvad kunden skal kræve af jer, og den fastsætter hverken testtype eller interval. En test kan belyse dele af nr. 5, 6, 9 og 10 for den afgrænsede leverance, men den kan ikke vise, at kunden lever op til paragraffen. Det er kundens myndighed, der vurderer det. Teksten er ikke juridisk rådgivning.

Tjekliste til et skema efter § 6

☐ Har I fundet ud af, hvilke punkter i skemaet der vedrører jeres leverance?
☐ Er testrapporten kun brugt under de punkter, den dækker?
☐ Har I procedurer at henvise til under hændelser, kontinuitet og uddannelse?
☐ Er det tydeligt, hvilken version og opsætning testen dækker?
☐ Er svarene formuleret uden løfter om overholdelse?

Kilder

Lovforslag L 141 (2024/1), bemærkningerne til § 6, stk. 1, nr. 6: s. 92 nævner sårbarhedsscanninger og penetrationstests som eksempler på tekniske test.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 1 til 10.
SAMSIK, vejledning om foranstaltninger (juni 2025): formålsafsnittet om udliciteret drift, læsevejledningen om forordning 2024/2690, afsnit 5 og 6 med lovbemærkningerne til § 6, nr. 5 og 6.
Gennemførelsesforordning (EU) 2024/2690: gælder direkte for bestemte digitale udbydere.

Senest gennemgået: oktober 2026.