NIS2‑ordene i kundens krav: en ordliste for leverandører

Et kravbilag fra en NIS2-kunde er skrevet i lovens sprog, og ordene betyder ikke altid det, de betyder i daglig tale. “Hændelse” er bredere end et angreb, “sårbarhed” har en fast definition, og “udbyder af administrerede tjenester” kan ramme flere leverandører, end de selv tror. Ordlisten nedenfor bygger på definitionerne i NIS 2-lovens § 3 og på et par andre bestemmelser i loven og i gennemførelsesforordning (EU) 2024/2690.

Formålet er at gøre det lettere at læse kravet præcist og svare på det, der faktisk står. Ord om selve penetrationstesten, som scope, retest og CVSS, forklares på penetrationtest.dk. Teksten er ikke juridisk rådgivning.

Hvorfor definitionerne betyder noget for jer

Når kunden skriver, at I skal underrette om “hændelser”, eller at testen skal dække “net- og informationssystemer”, er rækkevidden bestemt af lovens definitioner. Læser I ordet snævrere end loven, kan I komme til at love for lidt. Læser I det bredere, kan I påtage jer mere, end kunden har brug for. Et præcist ordvalg i aftalen sparer diskussioner, når et fund eller en driftsforstyrrelse skal vurderes senere. → Kundens brev om NIS2

Systemer og sikkerhed

Net- og informationssystem · § 3, nr. 21: elektroniske kommunikationsnet, enhver anordning, der ved hjælp af et program behandler digitale data automatisk, og de data, der lagres, behandles eller overføres i dem til drift, brug, beskyttelse og vedligeholdelse. Definitionen er bred og dækker både jeres løsning og de data, den flytter.
Sikkerhed i net- og informationssystemer · § 3, nr. 28: systemernes evne til på et givent niveau at modstå begivenheder, der kan skade data eller tjenester på tilgængelighed, autenticitet, integritet eller fortrolighed.
Cybersikkerhed · § 3, nr. 3: de aktiviteter, der er nødvendige for at beskytte systemerne, brugerne og andre, der berøres af cybertrusler.
Ikt-produkt, ikt-tjeneste og ikt-proces · § 3, nr. 14 til 16: et element i et system, en tjeneste, der helt eller hovedsagelig behandler oplysninger, og de aktiviteter, der bruges til at udforme, udvikle, levere eller vedligeholde dem. Ordene dukker op, når kunden spørger til jeres udvikling.

Hændelser og trusler

Hændelse · § 3, nr. 12: en begivenhed, der bringer tilgængelighed, autenticitet, integritet eller fortrolighed af data eller tjenester i fare. Et angreb er én slags hændelse, men en fejl, der gør data utilgængelige, kan også være det.
Nærvedhændelse · § 3, nr. 22: en begivenhed, der kunne have bragt det samme i fare, men som blev forhindret eller ikke indtraf.
Væsentlig hændelse · § 12, stk. 2: en hændelse, der har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for enheden, eller som kan påvirke andre ved at forårsage betydelig fysisk eller ikkefysisk skade. Det er kundens vurdering, og den udløser kundens underretning. → Væsentlig hændelse
Cybertrussel og væsentlig cybertrussel · § 3, nr. 4 og 35: en potentiel omstændighed eller handling, der kan skade systemerne, og en trussel, der ud fra sine tekniske karakteristika kan have alvorlig indvirkning.
Håndtering af hændelser · § 3, nr. 13: alt fra at forebygge og opdage til at inddæmme, reagere og reetablere.

Sårbarhed og risiko

Sårbarhed · § 3, nr. 29: en svaghed, modtagelighed eller fejl ved ikt-produkter eller ikt-tjenester, som kan udnyttes af en cybertrussel. Fund i en penetrationstest kan falde ind under ordet, men ikke alle fund er en sårbarhed i lovens forstand.
Risiko · § 3, nr. 27: potentialet for tab eller forstyrrelse som følge af en hændelse, udtrykt som en kombination af størrelsen af tabet og sandsynligheden for, at hændelsen indtræffer. Det er den risiko, kundens krav om test skal bygge på.
Foranstaltninger til styring af cybersikkerhedsrisici · lovens § 6: de tekniske, operationelle og organisatoriske tiltag, kunden skal have. Når kunden vil have “effektiviteten” dokumenteret, er det disse foranstaltninger, der menes. → Effektivitet af foranstaltninger

Leverandører og tjenester

Direkte leverandører eller tjenesteudbydere · § 6, stk. 1, nr. 4: ordene, loven bruger om jer, når kunden skal sikre forsyningskæden. Loven definerer dem ikke i § 3.
Udbyder af administrerede tjenester · § 3, nr. 34: en enhed, der leverer installation, administration, drift eller vedligeholdelse af ikt-produkter, net, infrastruktur, applikationer eller andre systemer via assistance eller aktiv administration, hos kunden eller på afstand. → MSP og NIS2
Udbyder af administrerede sikkerhedstjenester · § 3, nr. 33: en udbyder af administrerede tjenester, der udfører eller hjælper med aktiviteter vedrørende styring af cybersikkerhedsrisici. → Udbyder af administrerede sikkerhedstjenester
Cloudcomputingtjeneste og datacentertjeneste · § 3, nr. 2 og 5: begreber, der afgør, om en hostingpartner i kæden selv kan være omfattet.

Ord om kunden selv

Væsentlige og vigtige enheder · §§ 4 og 5: de to kategorier af omfattede enheder. Kategorien påvirker tilsynet med kunden, ikke de foranstaltninger, § 6 kræver. → Væsentlige og vigtige enheder
Ledelsesorganet · § 3, nr. 20: fx bestyrelsen eller direktionen, afhængigt af selskabsformen. Det er ledelsesorganet, der efter § 7 godkender kundens foranstaltninger.
Kritisk enhed (CER) · en enhed, der er identificeret efter direktiv (EU) 2022/2557 om kritiske enheders modstandsdygtighed, i Danmark gennemført ved CER-loven, lov nr. 433 af 6. maj 2025. NIS2-direktivets artikel 2, stk. 3, gør NIS2 gældende for sådanne enheder uanset størrelse. Ser I CER i et kravbilag, handler det om kundens samlede modstandsdygtighed, også over for fysiske trusler, og ikke kun om cybersikkerhed.
Relevante enheder · forordning 2024/2690, artikel 1: de digitale udbydere, forordningen gælder for. Ser I ordet i et kravbilag, er teksten sandsynligvis lånt fra forordningen. → Gennemførelsesforordning 2024/2690

Et tænkt eksempel

En leverandør af et adgangskontrolsystem til en fødevareproducent får et krav om at underrette kunden om “enhver hændelse, der berører leverancen”. Leverandøren slår ordet op og ser, at en hændelse efter loven også kan være en fejl, der gør data utilgængelige, ikke kun et angreb. Leverandøren foreslår derfor, at aftalen beskriver, hvilke typer hændelser der skal meldes, og hvor hurtigt, så begge parter ved, hvad der udløser en besked.

Samme leverandør ser ordet “sårbarhed” i et andet punkt om, at kunden skal informeres om sårbarheder i leverancen. Her foreslår leverandøren at skelne mellem fund fra egne test, oplysninger fra producenter af komponenter og meldinger udefra, fordi de tre kilder kræver forskellig håndtering, før kunden kan få et brugbart svar.

Det skal I lade være med

At læse “hændelse” som “angreb” · lovens definition er bredere.
At kalde alle testfund for hændelser · et fund er som udgangspunkt en sårbarhed, ikke en begivenhed.
At afvise definitionen af administrerede tjenester uden at læse den · den kan ramme flere end klassiske driftsleverandører.
At bruge forordningens ord om en kunde, der ikke er omfattet · tjek, hvem “relevante enheder” er.
At oversætte lovens ord til egne udtryk i aftalen · brug lovens ord, når kravet bygger på loven.

Hvad kan og ikke kan konkluderes

Ordlisten kan hjælpe jer med at læse kundens krav, som det er skrevet, og med at stille de rigtige spørgsmål. Den afgør ikke, om I selv er omfattet, eller om en bestemt begivenhed er væsentlig. Den vurdering ligger hos den, der er underlagt loven, og i sidste ende hos myndigheden. Brug derfor ordlisten som udgangspunkt for spørgsmål til kunden, ikke som svar på dem.