Registrering som digital udbyder: hvorfor kunder spørger til den

En kunde, der sender et leverandørskema, kan spørge direkte, om I er registreret efter NIS 2-loven. For en driftsleverandør, et hostingfirma eller en cloududbyder er spørgsmålet ikke tilfældigt. Svaret hviler på lovens § 9, som pålægger bestemte digitale udbydere at registrere sig hos den kompetente myndighed, og på det, registreringen siger om jeres egne pligter, herunder sikkerhedstest.

Kort sagt: registreringen viser kunden, at I selv står inden for lovens rammer. Den viser ikke, at jeres sikkerhed er afprøvet. Teksten er ikke juridisk rådgivning.

Hvem paragraffen handler om

§ 9, stk. 1, nævner DNS-tjenesteudbydere, topdomænenavneadministratorer, enheder, der leverer domænenavnsregistreringstjenester, og udbydere af cloudcomputingtjenester, datacentertjenester, indholdsleveringsnetværk, administrerede tjenester, administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester. Andre væsentlige og vigtige enheder registrerer sig efter § 10 med færre oplysninger.

For en læser, der driver IT for andre virksomheder, er det især udbydere af administrerede tjenester, defineret i § 3, nr. 34, der er relevant. Om jeres ydelse falder ind under definitionen, og om I i øvrigt er omfattet af loven, er en vurdering for sig, som audit-sættet tager sig af. Her handler det om, hvad registreringen betyder for samtalen med kunden. → MSP og NIS2: når driftsleverandøren selv er omfattet

Hvad registreringen indeholder

Efter § 9, stk. 1, nr. 1 til 5, oplyser udbyderen:

Navn · enhedens navn.
Forretningssteder · adressen på hovedforretningsstedet og andre forretningssteder i EU, eller en udpeget repræsentant.
Sektor og type · den relevante sektor, delsektor og type efter lovens bilag 1 eller 2.
Kontaktoplysninger · ajourførte e-mailadresser, ip-intervaller og telefonnumre.
Medlemsstater · de lande i EU, hvor I leverer tjenester.

Oplysningerne skal efter § 9, stk. 2, indgives senest tre måneder efter, at enheden omfattes af loven, og ændringer meldes inden for tre måneder efter ændringen (stk. 3). For de enheder, der var omfattet fra start, fastsatte § 33, stk. 3, at oplysningerne skulle være indgivet senest den 1. oktober 2025.

Bekendtgørelse nr. 620 af 2. juni 2025 bestemmer i § 14, at registreringen sker digitalt gennem en selvbetjeningsløsning, som Styrelsen for Samfundssikkerhed har anvist, og som findes via Virk.dk. Den kompetente myndighed for administrerede tjenester, cloud og datacentre er efter samme bekendtgørelses § 6 Digitaliseringsstyrelsen. → Digitaliseringsstyrelsen som tilsyn

Hvorfor kunden vil vide det

Kunden kan have flere grunde, og det hjælper at spørge, hvilken der gælder.

Kundens leverandørregister · kunden skal vide, hvem I er, og hvilken rolle I har i kundens leverance. Er I selv omfattet, er det en oplysning, der hører med. → Kundens leverandørregister
Forventninger til jeres egne foranstaltninger · en registreret udbyder har egne pligter efter lovens § 6. Kunden kan derfor forvente, at I har en politik for test og kan vise den.
Hvilke regler der gælder for jer · udbydere af administrerede tjenester er blandt de enheder, gennemførelsesforordning (EU) 2024/2690 gælder for. Kunden ved så, at bilagets krav om sikkerhedstest i punkt 6.5 er jeres egne. → Forordningen og MSP’en
Hændelser · en omfattet udbyder har sine egne underretningspligter, som kunden gerne vil kende samspillet med.

Ip-intervallerne og testens omfang

Én af registreringens oplysninger har en direkte forbindelse til en penetrationstest: ip-intervallerne. De adresser, I har oplyst til myndigheden, er dem, I selv siger, at I står for. Det er rimeligt, at en ekstern test af jeres egne systemer tager udgangspunkt i den samme liste.

Sammenlign derfor listen i registreringen med det omfang, I giver testeren. Er der adresser i registreringen, som ikke var med i testen, bør det fremgå af rapporten, hvorfor. Er der adresser i testen, som ikke står i registreringen, kan det være et tegn på, at registreringen skal opdateres inden for fristen i § 9, stk. 3. Uoverensstemmelser er ikke farlige i sig selv, men kunden kan opdage dem, og det er bedre, at I gør det først. → Hvilke af jeres systemer skal testes?

Det, registreringen ikke siger

Registreringen er en anmeldelse, ikke en godkendelse. Myndigheden udsteder ikke et bevis for, at foranstaltningerne er i orden, og registreringen siger intet om, hvornår I sidst testede, hvad testen fandt, eller om fundene er rettet. Skriv derfor ikke til kunden, at I er “NIS2-godkendt” eller “registreret og dermed compliant”. Begge dele lover mere, end registreringen kan bære.

Når kunden spørger, er et ærligt svar i to dele: ja, vi er registreret som udbyder af administrerede tjenester, og her er den dokumentation, der viser, hvordan vi tester vores egne foranstaltninger. → Dokumentation til NIS2-kunden

Er I ikke registreret, fordi I ikke er omfattet, så sig det, og forklar kort hvorfor, fx at jeres ydelse ikke er administrerede tjenester, eller at I ikke opfylder betingelserne i lovens §§ 4 og 5 for væsentlige og vigtige enheder. Kunden kan stadig stille krav til jer gennem aftalen. Manglende registrering ændrer ikke kundens egen pligt til at sikre forsyningskæden. → Selv omfattet eller kun kunden?

Er I i tvivl, så få afklaret spørgsmålet, før I svarer. Et forkert ja eller nej i et leverandørskema kan blive stående i kundens register i lang tid.

Et tænkt eksempel

En driftsleverandør med fyrre medarbejdere og en hostingplatform får et leverandørskema fra en vandforsyning. Et af spørgsmålene lyder: Er I registreret efter NIS 2-loven, og hvornår er jeres egne systemer sidst testet? Leverandøren svarer på de to spørgsmål hver for sig. Det første besvares med registreringens type og dato. Det andet besvares med et resumé af den seneste eksterne test. Under arbejdet opdager leverandøren, at et nyt ip-interval fra en flytning af platformen hverken står i registreringen eller var med i testen. Registreringen opdateres, og intervallet kommer med i næste test.

Det skal I lade være med

At bruge registreringen som bevis på sikkerhed · den er en anmeldelse af oplysninger.
At glemme ændringer · nye ip-intervaller eller forretningssteder skal meldes inden for fristen.
At svare forskelligt til forskellige kunder · registreringen er én oplysning, og svaret bør være det samme.
At lade testens omfang leve sit eget liv · sammenhold det med de oplyste adresser.
At gætte på, om I er omfattet · få vurderingen lavet, før I skriver svaret.

Hvad kan og ikke kan konkluderes

En registrering efter § 9 viser, at udbyderen har anmeldt sig som en af de digitale udbydere, loven nævner, og har oplyst navn, adresser, sektor, kontaktoplysninger og lande. Den siger ikke noget om foranstaltningernes kvalitet, om der er testet, eller om tilsynet har set på udbyderen. Det kræver andre dokumenter.