Er vi selv omfattet af NIS2, eller er det kun kunden?

Nogle leverandører møder NIS2 første gang som et bilag til en kundeaftale. Det rejser et spørgsmål, som er værd at stille, før testen bestilles: Er det kun kunden, der er omfattet, eller gælder loven også jer? Svaret afgør, hvem der fastlægger omfanget af jeres sikkerhedstest, og hvem I skal kunne forklare den for.

Et krav fra en kunde gør jer ikke omfattet. Om I er omfattet, afhænger af jeres egen sektor, type og størrelse efter NIS 2-lovens bilag og §§ 4 og 5. Den vurdering hører hjemme i et særskilt forløb. Her handler det om, hvad forskellen betyder for testen. Teksten er ikke juridisk rådgivning.

Kravet fra kunden gør jer ikke omfattet

SAMSIK’s vejledning om anvendelsesområdet har et kort afsnit 8 om leverandører. Det beskriver, at virksomheder, der ikke selv er omfattet, kan møde krav til sikkerhedsforanstaltninger, fordi de leverer varer eller tjenester til en omfattet enhed. Kravene udspringer af kundens risikovurdering af leverancen.

En leverandør kan altså have mange NIS2-kunder og selv stå helt uden for loven. Pligterne følger da af aftalerne og ikke af § 6. Omvendt kan en leverandør være omfattet uden at have en eneste kunde, der nævner NIS2.

Hvornår leverandøren selv kan være omfattet

Loven gælder for enheder af de typer, der står i bilag 1 og 2, med de undtagelser, der følger af § 1. Nogle leverandørtyper står selv i bilagene. Det gælder for eksempel udbydere af administrerede tjenester og administrerede sikkerhedstjenester under bilag 1, punkt 9, og udbydere af cloudtjenester og datacentertjenester under digital infrastruktur.

Lovens § 3, nr. 34, definerer en udbyder af administrerede tjenester som en enhed, der installerer, administrerer, driver eller vedligeholder ikt-produkter, net, infrastruktur eller applikationer, enten hos kunden eller på afstand. Driftsleverandører vil kunne genkende sig selv i den beskrivelse. Om de faktisk er omfattet, afhænger også af størrelsen og af reglerne i §§ 4 og 5. → MSP og NIS2 · → Bilag 1 og 2

Energi, tele og dele af finanssektoren er efter § 1, stk. 2, undtaget fra NIS 2-loven, fordi de har egne regler. Er jeres kunde der, bygger kravet på en anden lov. → Energi, tele og finans

Når kravet er kundens

Er I ikke selv omfattet, er det kunden, der definerer behovet. Testens omfang skal da svare på kundens spørgsmål om den leverance, kunden er afhængig af. Det kan være en kundeportal, en fjernadgang eller en integration.

Det er også kunden, der i første omgang vurderer, om dokumentationen er tilstrækkelig. I kan påvirke vurderingen ved at forklare leverancen godt, men I kan ikke henvise til en lovpligt, der ikke gælder jer.

Det har to praktiske følger. For det første er det rimeligt at spørge kunden, hvad kravet skal dække, og at foreslå en afgrænsning til netop leverancen. For det andet kan to kunder spørge forskelligt, og I må selv finde ud af, om én test kan dække begge. → Hele virksomheden eller kun leverancen?

Kunden kan også have fået kravet fra sin egen kunde. Så er det værd at finde ud af, hvem der står for enden af kæden. → Krav i andet eller tredje led

Når I også selv er omfattet

Er I omfattet, har I jeres egen pligt efter § 6, stk. 1, herunder politikker og procedurer for at vurdere effektiviteten af foranstaltningerne. Så er det jeres egen risikovurdering, der bestemmer, hvad der skal testes, hvor ofte og hvordan. Kundens krav kommer oveni og kan pege på en del, som I ellers ville have prioriteret anderledes.

For udbydere af administrerede tjenester, cloud, datacentre og en række andre digitale udbydere gælder desuden gennemførelsesforordning (EU) 2024/2690 direkte. Bilagets punkt 6.5 handler om sikkerhedstest og kræver blandt andet, at behov, omfang, hyppighed og type af test fastlægges ud fra en risikovurdering. → Forordning 2024/2690

Visse digitale udbydere, herunder udbydere af administrerede tjenester, skal efter § 9 også registrere sig hos den relevante kompetente myndighed og blandt andet oplyse navn, sektor, type og kontaktoplysninger. Kunder spørger af og til til den registrering, fordi den siger noget om, hvordan leverandøren selv opfatter sin status. → Registrering som digital udbyder

En omfattet leverandør står i praksis med to spørgsmål: hvad den egne pligt kræver, og hvad kunderne beder om. Testplanen bør kunne svare på begge, uden at den ene skjuler den anden.

Ét testprogram med to formål

Det er ikke altid nødvendigt at have to adskilte testforløb. En omfattet driftsleverandør kan lægge en plan, der dækker egne kritiske systemer og samtidig de dele, kunderne er afhængige af. Det vigtige er, at det fremgår, hvilket formål hver test har, og hvem resultatet skal afleveres til.

Et tænkt eksempel: En hostingvirksomhed er selv omfattet og leverer til en kommune og et hospital. Virksomhedens egen plan omfatter den fælles platform. Kommunen beder om dokumentation for adgangen til sin egen løsning. En test af platformen kan dække en del af kommunens spørgsmål, men kommunens særlige opsætning kan kræve et tillæg. Hospitalet kan have helt andre ønsker til tidspunkt og aflevering, selv om platformen er den samme.

Det skal I lade være med

At antage, at I er omfattet, fordi en kunde nævner NIS2 · kravet følger af aftalen, ikke af kundens status.
At antage, at I ikke er omfattet, fordi ingen kunde har spurgt · vurderingen beror på jeres egen type og størrelse.
At lade kundens krav erstatte jeres egen testplan · er I omfattet, har I jeres egen risikovurdering at følge.
At blande de to formål sammen i rapporten · skriv, hvilken test der svarer på hvilket spørgsmål.
At gætte på undtagelserne · læs § 1 og bilagene, eller få vurderingen foretaget af en rådgiver.

Hvad kan og ikke kan konkluderes

En penetrationstest kan aldrig afgøre, om I er omfattet af NIS 2-loven. Det spørgsmål besvares ud fra jeres virksomhed, sektor og størrelse. Testen kan derimod dokumentere, at en bestemt del af jeres systemer er afprøvet, og den kan bruges både over for kunder og i en egen plan, hvis det er aftalt fra start.

Hvis I er omfattet, kan jeres egen myndighed have andre forventninger end kunden. Hvilken myndighed det er, fremgår af bekendtgørelse nr. 620 af 2. juni 2025. → Kompetente myndigheder

Tjekliste

☐ Har I vurderet jeres egen type ud fra lovens bilag 1 og 2?
☐ Er det afklaret, om størrelsen gør jer til væsentlig eller vigtig enhed?
☐ Ved I, hvilke kunder der stiller krav med henvisning til NIS2?
☐ Fremgår det af testplanen, hvilket formål hver test har?
☐ Er det besluttet, hvilken dokumentation der går til kunder, og hvilken der bliver internt?