Væsentlig hændelse: hvad begrebet betyder, og hvorfor det angår leverandøren

NIS 2-loven pålægger ikke kunden at underrette om alle hændelser, kun om de væsentlige. Det er kunden, der foretager vurderingen, men den kan bygge på oplysninger, som kun leverandøren har: hvad der er ramt, hvor længe, og om nogen uvedkommende har haft adgang. Derfor angår begrebet jer, selv om I ikke er omfattet af loven. Svaret hviler på lovens § 12, stk. 2, og på SAMSIK’s vejledning om hændelsesunderretning.

Når I kender kundens begreb, er det lettere at se, hvad kunden spørger efter, når noget er sket. Teksten er ikke juridisk rådgivning.

Lovens to betingelser

Efter NIS 2-lovens § 12, stk. 2, anses en hændelse for væsentlig, hvis en af to betingelser er opfyldt:

Drift eller økonomi · hændelsen har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed.
Skade på andre · hændelsen har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.

Læg mærke til ordene er i stand til. En hændelse kan være væsentlig, før skaden er sket. § 12, stk. 3, åbner for, at vedkommende minister kan fastsætte nærmere regler om, hvornår en hændelse kan anses for væsentlig, så kundens sektor kan have supplerende kriterier. Spørg kunden, om der gælder sådanne regler for kundens sektor, så I ved, hvilke oplysninger der vejer tungest. For en leverandør er hovedpointen enkel: jo bedre I kan beskrive omfang og varighed, jo hurtigere kan kunden afgøre, om betingelserne er opfyldt.

Hvad SAMSIK lægger vægt på

SAMSIK’s vejledning om hændelsesunderretning siger, at underretningspligten angår hændelser i de net- og informationssystemer, der understøtter de ydelser, som gør enheden omfattet. Det er ikke enhver hændelse i virksomheden, men den del, der bærer de omfattede ydelser.

Vejledningen giver eksempler på alvorlige driftsforstyrrelser. To af dem er nære for en leverandør: uberettiget adgang til kritiske systemer, der understøtter enhedens tjenester, og en hændelse, der væsentligt forringer kontraktligt garanterede leveringstider. Vejledningen nævner også, at planlagt vedligeholdelse ikke skal underrettes. Ved skade på andre fremhæver vejledningen, at tredjepart fx kan være brugere, leverandører, samarbejdspartnere og databehandlere. → Kundens 24 timer

For de digitale udbydere: forordningens kriterier

Gennemførelsesforordning 2024/2690 gælder for en afgrænset kreds af digitale udbydere, fx cloud, datacentre, administrerede tjenester og administrerede sikkerhedstjenester. For dem præciserer artikel 3 væsentlige hændelser med konkrete kriterier. Et af dem, litra e, er formodet ondsindet og uautoriseret adgang til net- og informationssystemer, som kan forårsage alvorlige driftsforstyrrelser. Artikel 4 beskriver, at hændelser, der hver for sig ikke er væsentlige, samlet kan blive det, hvis de gentager sig med samme grundlæggende årsag. Artikel 3, stk. 2, holder planlagte driftsafbrydelser ude.

Er I selv i forordningens kreds, er det jeres egne kriterier, og så skal I også selv underrette. Er I det ikke, men er kunden det, er det kundens kriterier, og jeres opgave er at levere de oplysninger, de kræver. Kriteriet om formodet uautoriseret adgang er værd at bemærke for en leverandør med fjernadgang til kunden: misbrug af den adgang kan i sig selv bringe kunden tæt på grænsen. → Gennemførelsesforordning 2024/2690

Hvorfor jeres oplysninger tæller

Kunden kan kun vurdere de to betingelser, hvis kunden ved, hvad der er sket i jeres del af leverancen. Kunden kan stille spørgsmål som disse, og I kan forberede svarene, før noget sker:

Hvilke tjenester er påvirket · og hvilke af dem kunden leverer videre til sine egne brugere.
Hvor længe · fra afbrydelsen begyndte, eller fra den blev opdaget, hvis begyndelsen er ukendt.
Er data berørt · fortrolighed, integritet eller tilgængelighed.
Er der tegn på uvedkommende · eller kan det ikke udelukkes.
Er det sket før · hændelser med samme årsag kan have betydning.

Det sidste punkt er en grund til at føre et enkelt register over jeres egne hændelser, også de små. Registret behøver ikke være stort: dato, berørt del, varighed, årsag og hvem der fik besked. Det gør det muligt at se et mønster, som ingen af de enkelte hændelser viser, og det kan bruges, når kunden ved den årlige opfølgning spørger, hvad der er sket i året. → Besked til kunden om hændelser

Når kunden er uden for NIS 2-loven

NIS 2-lovens § 1, stk. 2, holder enheder ude, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. For sådanne kunder kan andre kriterier for alvorlige hændelser gælde, og for finansielle enheder bygger de på DORA. Spørg kunden, hvilket regelsæt hændelsen vurderes efter. → Energi, tele og finans

Et tænkt eksempel

En leverandør drifter et billetsystem for et regionalt trafikselskab. En opdatering hos leverandøren går galt, og billetsalget er nede i en del af dagen. Det var ikke planlagt vedligeholdelse.

Leverandøren melder straks, hvad der er ramt, hvornår det begyndte, og at der ikke er tegn på uvedkommende, og opdaterer, da systemet kører igen. Trafikselskabet vurderer ud fra varigheden, antallet af berørte rejsende og sine egne tærskler, om hændelsen er væsentlig. Leverandøren tager ikke stilling til det, men leverer oplysningerne og en kort redegørelse for årsagen. Bagefter aftaler parterne, at fremtidige opdateringer lægges i et varslet tidsrum, så en fejl rammer færre rejsende.

Det skal I lade være med

At sige til kunden, at hændelsen ikke er væsentlig · det er kundens vurdering efter kundens regler.
At melde kun det, I er sikre på · usikkerhed er også en oplysning.
At kalde en uplanlagt afbrydelse for vedligeholdelse · undtagelsen gælder det planlagte.
At se bort fra gentagelser · flere små hændelser kan have betydning samlet.
At bruge lovens kriterier over for en kunde i energi, tele eller finans · andre regler kan gælde.

Hvad kan og ikke kan konkluderes

Begrebet væsentlig hændelse afgør, hvad kunden skal underrette om. Det afgør ikke, hvad I skal melde til kunden; det står i aftalen og kan være bredere. En penetrationstest kan ikke afgøre, om en hændelse er væsentlig, men den kan belyse, om I kan give kunden de oplysninger, vurderingen kræver. → Hændelse eller testfund

Tjekliste til jeres oplysninger

☐ Ved I, hvilke af kundens tjenester jeres leverance bærer?
☐ Kan I angive start, varighed og omfang af en afbrydelse?
☐ Kan I sige, om data eller adgange kan være berørt?
☐ Fører I et register, der viser gentagne hændelser?
☐ Ved I, efter hvilke regler kunden vurderer hændelser?
☐ Er I selv i forordningens kreds med egne kriterier?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: § 1, stk. 2; § 12, stk. 2 og 3.
SAMSIK, vejledning om hændelsesunderretning (juni 2025): afsnit 1 om hvilke hændelser der skal underrettes, med eksempler og lovbemærkninger.
Gennemførelsesforordning (EU) 2024/2690: artikel 3, stk. 1, litra e, og stk. 2, og artikel 4. Gælder for de digitale udbydere, der er nævnt i artikel 1.

Senest gennemgået: oktober 2026.