Sektorernes forskelle: hvorfor samme leverandør får forskellige krav

En leverandør med kunder i flere brancher kan få tre krav om sikkerhedstest på samme måned og opdage, at de ikke ligner hinanden. Den ene kunde henviser til en forordning, den anden til en vejledning fra en styrelse, og den tredje nævner slet ikke NIS2. Forskellene er ikke tilfældige. De hviler på, at kunderne hører under forskellige regelsæt, forskellige myndigheder og forskellige tilsynsformer, og på at hver kunde selv vurderer sin risiko. For leverandøren er svaret at kende kilderne og bygge ét grundlag, der kan tilpasses.

Teksten forklarer, hvor forskellene kommer fra. Den er ikke juridisk rådgivning, og den siger ikke, hvad en bestemt kunde skal kræve.

Fem kilder til forskelle

Forskellene mellem kundernes krav kan føres tilbage til fem forhold:

Regelsættet · om kunden er under NIS 2-loven, en sektorlov eller en EU-forordning.
Myndigheden · hvilken styrelse der fører tilsyn og udgiver vejledning.
Detaljeringen · om der findes tekniske krav ud over lovens minimumsforanstaltninger.
Tilsynsformen · om kunden er en væsentlig eller vigtig enhed.
Kundens egen risikovurdering · hvad kunden vurderer, at jeres leverance betyder.

De fire første følger af reglerne. Den femte er kundens egen og kan variere, også mellem to kunder i samme sektor. → Kundens risikovurdering

Regelsættet: ikke alle kunder er under NIS 2-loven

NIS 2-lovens § 1, stk. 2, holder enheder uden for loven, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. En energikunde kan derfor stille krav ud fra energisektorens egne regler, og en finansiel kunde ud fra DORA. Kravene kan ligne NIS2-krav, men bygger på andre tekster. → Energi, tele og finans

Uddannelsesinstitutioner og offentlige forvaltningsenheder på lokalt plan er et særtilfælde. Efter § 1, stk. 7, kan vedkommende minister fastsætte regler om, at loven helt eller delvis også gælder for dem. Kommuner står selv i bekendtgørelse nr. 620 af 2. juni 2025 med Styrelsen for Samfundssikkerhed som myndighed. For en uddannelsesinstitution afhænger det af, om der er fastsat regler. Spørg derfor, hvad kravet bygger på, frem for at gå ud fra det.

Myndigheden og dens vejledning

Bekendtgørelse nr. 620 fordeler sektorerne mellem en række styrelser, fx Sundhedsdatastyrelsen for sundhed, Digitaliseringsstyrelsen for cloud, datacentre og administrerede tjenester, Miljøstyrelsen for drikkevand og spildevand og Styrelsen for Samfundssikkerhed for bl.a. kemikalier og dele af fremstillingssektoren. Hver myndighed kan vejlede sine enheder, og kunden kan skrive kravet i myndighedens sprog. → Hvem fører tilsyn med jeres kunde?

Det betyder, at to kunder kan bruge forskellige ord om det samme. Den ene skriver “penetrationstest”, den anden “vurdering af foranstaltningernes effektivitet”, og den tredje “teknisk sikkerhedsscanning”. Find ud af, hvilken vejledning kunden læser, før I beslutter, om kravene er forskellige i indhold eller kun i ordlyd.

Detaljeringen: forordningen gælder kun nogle kunder

Gennemførelsesforordning (EU) 2024/2690 fastsætter tekniske og metodologiske krav for en bestemt kreds af digitale udbydere: DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloud, datacentre, indholdsleveringsnetværk, administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner, sociale netværksplatforme og tillidstjenester. En kunde i den kreds har detaljerede krav, fx om sikkerhedstest i bilagets punkt 6.5 og om kontrakter med leverandører i punkt 5.1.4.

En kunde uden for kredsen er bundet af lovens § 6 og kan bruge forordningen som inspiration. Kravet til jer kan derfor være mere detaljeret fra en cloudkunde end fra en fødevarevirksomhed, uden at det siger noget om, hvor alvorligt kunderne tager det. → Forordning 2024/2690

Tilsynsformen

Lovens § 21 beskriver tilsyn med væsentlige enheder, som bl.a. kan omfatte sikkerhedsaudits og sikkerhedsscanninger. § 24 beskriver reaktivt tilsyn med vigtige enheder, som sker efter indikationer på, at loven ikke overholdes. En kunde, der kan få tilsyn uden en konkret anledning, kan have større behov for at have dokumentationen klar på forhånd. § 21, stk. 1, nr. 2, nævner desuden, at myndigheden kan kræve, at en væsentlig enhed får et kvalificeret uafhængigt organ til at foretage sikkerhedsaudits. En sådan kunde kan derfor også spørge mere præcist til, hvem der har udført jeres test, og hvordan testeren er uafhængig af det testede. → Væsentlige og vigtige enheder

Ét grundlag, flere svar

Et nyt testprogram for hver sektor er ikke nødvendigvis realistisk for en leverandør. Et alternativ er et fælles grundlag: en test af det, alle kunder er afhængige af, og en dokumentation med de oplysninger, der går igen hos alle kunder. Ovenpå kommer det kundespecifikke: en ordlyd, der svarer til kundens krav, og eventuelle tillæg, hvis en kunde har behov ud over det fælles. → Flere kunder, forskellige krav

Forestil jer en leverandør af et system til vedligeholdelsesplanlægning med tre kunder: et datacenter, et hospital og en maskinfabrik. Datacenteret er under forordningen og beder om dokumentation for testens type, omfang, tid og resultater med henvisning til bilagets punkt 6.5. Hospitalet henviser til lovens § 6 og spørger, hvordan leverandørens fjernadgang er beskyttet. Maskinfabrikken spørger kun, om systemet er pentestet inden for det seneste år. Leverandøren har én test af systemet og af sin supportadgang. Datacenteret får et resumé med de oplysninger, punkt 6.5.2 nævner, hospitalet får et kort svar om fjernadgangen med henvisning til testen, og maskinfabrikken får dato og konklusion. Testen er den samme, men svarene er skrevet til hver kunde.

Det skal I lade være med

At svare alle kunder med den samme tekst · grundlaget kan være fælles, men svaret skal ramme kundens spørgsmål.
At gå ud fra, at alle kunder er under NIS 2-loven · energi, tele og finans kan have egne regler.
At antage, at forordningens krav gælder alle · den gælder en afgrænset kreds.
At forveksle forskellig ordlyd med forskelligt indhold · sammenlign, før I tester to gange.
At gætte på kundens myndighed · spørg kunden, og notér svaret til næste gang.

Hvad kan og ikke kan konkluderes

At kende kundens regelsæt, myndighed og tilsynsform gør det lettere at læse kravet og svare i kundens sprog. Det afgør ikke, hvad kunden må eller skal kræve af jer. Det følger af kundens egen vurdering og jeres aftale. Teksterne bag kravene kan ændre sig, så tjek kilderne, når et nyt krav kommer.