Styrelsen for Samfundssikkerhed og NIS2 set fra en leverandør

Navnet Styrelsen for Samfundssikkerhed, forkortet SAMSIK, kan dukke op i kunders krav, også fra kunder, som SAMSIK ikke fører tilsyn med. Det skyldes, at styrelsen har to roller, der let blandes sammen: den er tilsynsmyndighed for nogle sektorer, og den skriver de tværgående vejledninger, som alle omfattede enheder kan bruge. Svaret hviler på bekendtgørelse nr. 620 af 2. juni 2025 og på SAMSIK’s egne sider om NIS2.

Kort sagt er SAMSIK jeres kundes myndighed, hvis kunden er en kommune, en statslig forvaltningsenhed eller en virksomhed i kemi eller dele af fremstillingsindustrien. For alle andre kunder er SAMSIK primært forfatteren til de vejledninger, kundens formuleringer kan stamme fra.

Rollen som tilsynsmyndighed

Bekendtgørelsens § 1 og § 12 udpeger SAMSIK som kompetent myndighed for kommunerne, den centrale forvaltning (med enkelte undtagelser), operatører af skibstrafiktjenester, udbydere af internetudvekslingspunkter, kemikalievirksomheder og fremstilling af computere og elektronik, elektrisk udstyr, maskiner og køretøjer. Øvrige sektorer har andre myndigheder. → Kompetente myndigheder

Leverer I til en af de grupper, er det SAMSIK, der i sidste ende vurderer, om kunden lever op til loven. Kundens spørgsmål til jer kan derfor følge den måde, SAMSIK tilrettelægger sit tilsyn på, og de vejledninger, styrelsen har skrevet til netop den sektor. → Leverandør til kommuner · → Leverandør til fremstilling

Rollen som forfatter af vejledningerne

SAMSIK har udgivet fire tværgående vejledninger til NIS 2-loven: om anvendelsesområdet, om ledelsens rolle og opgaver, om foranstaltninger og om hændelsesunderretning. Dertil kommer vejledninger til kommuner og til den centrale forvaltning. Vejledningen om foranstaltninger skriver selv, at den er generel og henvender sig til enheder i alle sektorer, og at den kan suppleres af sektorspecifik vejledning fra den relevante myndighed.

Vejledningen om foranstaltninger skelner mellem det, enheden skal, bør og kan gøre. Ifølge vejledningen vil myndighederne forvente, at anbefalingerne er fulgt, eller at enheden ud fra sin risiko har taget dokumenteret stilling til, hvorfor den har valgt noget andet. Det forklarer, hvorfor en kunde kan behandle et bør i vejledningen som noget, der i praksis skal kunne forklares, og hvorfor kravet så havner hos jer. Vejledningen oplyser også, at den bygger på ENISA’s fortolkningsbidrag, så formuleringer fra ENISA kan genkendes i den.

For en leverandør er tre afsnit særligt nyttige:

Anvendelsesområdet, afsnit 8 · virksomheder uden for loven kan møde krav, men kunden behøver ikke stille de samme krav, som kunden selv er underlagt. → Grænser for leverandørkrav
Foranstaltninger, afsnit 4 · kundens leverandørstyring, udvælgelseskriterier og mulige kontraktpunkter.
Foranstaltninger, afsnit 6.b · tekniske tests, herunder penetrationstest som eksempel. → SAMSIK’s vejledning om tekniske test

Vejledningen om ledelsens rolle hører til ledelsesansvaret, som dette site kun berører kort.

Det, SAMSIK skriver om leverandører

SAMSIK’s spørgsmål og svar om NIS2 har et punkt om organisationer, der ikke selv er omfattet. Svaret er, at de kan blive påvirket, fordi forsyningskædesikkerhed er et af de forhold, de omfattede enheder skal tage hensyn til. Ifølge svaret stilles kravene til leverandører på baggrund af en risikobaseret tilgang.

Det er en vigtig sætning for jer. Den betyder, at kravet ikke er en fast pakke, men et resultat af kundens vurdering af jeres leverance. Det giver jer en saglig grund til at spørge, hvilken risiko kunden vil have belyst, før I aftaler en test. Spørgsmålet er ikke en afvisning af kravet. Det er en måde at sikre, at testen kommer til at handle om det, kunden faktisk er bekymret for.

Tilsyn med spørgerammer og dybdegående tilsyn

På sin side om NIS2-tilsyn beskriver SAMSIK en plan for 2026 og 2027 med brede, spørgeskemabaserede tilsyn med kommuner og statslige forvaltningsenheder, dybdegående tilsyn med udvalgte enheder om bestemte emner, og tilsyn med registreringerne. Ifølge siden bygger spørgerammen på lovens foranstaltninger.

Leverer I til en kommune, kan I derfor opleve, at kommunen beder om oplysninger, der passer til en spørgeramme fra SAMSIK. Det kan være hurtige spørgsmål om, hvornår I sidst blev testet, og hvad der blev fundet. Har I svaret klar, kan kommunen bruge det direkte. Kommunen kan have en lang række leverandører og begrænset tid til at følge op på hver, så et svar, der er kort, dateret og konkret, bliver lettere brugt end en lang rapport, kommunen selv skal finde svaret i. Spørg gerne kommunen, hvilke oplysninger spørgerammen konkret beder om, så I ikke leverer mere eller mindre end nødvendigt.

Det, SAMSIK ikke er

Et par misforståelser går igen. SAMSIK er ikke tilsynsmyndighed for alle omfattede enheder, kun for de sektorer, bekendtgørelsen nævner. Den nationale CSIRT er ifølge SAMSIK’s side Forsvarets Efterretningstjeneste, som håndterer indberetningerne om væsentlige hændelser. Og SAMSIK fører ikke tilsyn med jer som leverandør, medmindre I selv er en omfattet enhed i en af styrelsens sektorer.

SAMSIK henviser også til værktøjet NIS2tjek.dk, hvor virksomheder kan få en indikation af, om de er omfattet. En sådan indikation erstatter ikke en egentlig vurdering. → Er vi selv omfattet?

Et tænkt eksempel

En leverandør af et sagsbehandlingssystem til flere kommuner får samme spørgsmål fra tre kommuner inden for kort tid: hvornår blev systemet sidst testet, af hvem, og er kritiske fund rettet? Leverandøren skriver et kort, fælles svar med testdato, omfang, testleverandørens uafhængighed og status på fund og sender det til alle tre. Den fulde rapport deles kun efter aftale. Næste gang en kommune spørger, er svaret klar, og leverandøren skal kun opdatere status på fund og eventuelle ændringer i systemet siden testen.

Det skal I lade være med

At antage, at SAMSIK fører tilsyn med alle jeres kunder · det afhænger af kundens sektor.
At henvende jer til SAMSIK for at få kundens krav fortolket · spørgsmålet hører hjemme hos kunden.
At læse vejledningerne som pligter for jer · de handler om de omfattede enheders forpligtelser.
At ignorere sektorspecifikke vejledninger · de kan stå over SAMSIK’s generelle i kundens sektor.
At sende den fulde rapport til alle, der spørger · et fælles resumé kan være nok, og rapporten kan deles efter aftale.

Hvad kan og ikke kan konkluderes

SAMSIK’s vejledninger forklarer, hvordan en omfattet kunde kan læse loven, og hvorfor kunden kan stille krav til jer. De er ikke selv lovtekst, og de fastsætter ikke, hvad en bestemt kunde skal kræve. SAMSIK’s tilsyn gælder kun de sektorer, styrelsen er udpeget til. Teksten er ikke juridisk rådgivning.

Tjekliste til SAMSIK’s rolle i jeres kundekrav

☐ Er kunden i en af de sektorer, SAMSIK fører tilsyn med?
☐ Har I læst afsnit 8 i vejledningen om anvendelsesområdet?
☐ Har I læst afsnit 4 og 6.b i vejledningen om foranstaltninger?
☐ Bygger kundens krav på en sektorvejledning i stedet?
☐ Har I et kort, fælles svar klar til kunder med spørgerammer?

Kilder

Bekendtgørelse nr. 620 af 2. juni 2025: §§ 1 og 12 om SAMSIK som kompetent myndighed.
SAMSIK, NIS2: styrelsens rolle og henvisningen til FE som national CSIRT.
SAMSIK, NIS 2-vejledninger: oversigt over tværgående og sektorspecifikke vejledninger.
SAMSIK, FAQ om NIS2: svaret om organisationer, der ikke selv er omfattet.
SAMSIK, NIS2-tilsyn: tilsynsplanen for 2026 og 2027.
SAMSIK, vejledning om anvendelsesområdet (maj 2025): afsnit 8.

Senest gennemgået: oktober 2026.