Væsentlige og vigtige enheder: hvad forskellen betyder for kundens krav til jer

Når en kunde skriver, at den er en væsentlig enhed, kan det lyde, som om kravene til jer skal være strengere end hos en kunde, der er vigtig enhed. Det er kun delvist rigtigt. Svaret hviler på NIS 2-loven: §§ 4 og 5 afgør, hvilken kategori kunden hører til, § 6 stiller de samme foranstaltningskrav til begge, og forskellen ligger først og fremmest i tilsynet efter § 21 og § 24. For jer betyder det, at kategorien ikke nødvendigvis ændrer, hvad en test skal belyse, men kan ændre, hvor hurtigt og hvor ofte kunden kan have brug for jeres dokumentation.

Teksten er ikke juridisk rådgivning. Om kunden er væsentlig eller vigtig, er kundens egen vurdering, og I behøver ikke at efterprøve den.

Hvordan kategorierne bliver til

Lovens § 4 beskriver væsentlige enheder. Det drejer sig om enheder af en type i bilag 1, der overstiger bestemte grænser for antal ansatte, omsætning og balance, og om en række enheder, der er væsentlige uanset størrelse. Den sidste gruppe omfatter fx offentlige forvaltningsenheder under den centrale forvaltning, kvalificerede tillidstjenesteudbydere og DNS-tjenesteudbydere.

§ 5 beskriver vigtige enheder: enheder af en type i bilag 1 eller 2, som ikke er væsentlige, men som opfylder lovens størrelseskriterier. Myndigheden kan desuden i visse tilfælde afgøre, at en enhed skal anses som vigtig. Endelig kan en mindre enhed blive væsentlig efter § 4, stk. 3, nr. 5, hvis den fx er eneste udbyder i Danmark af en tjeneste, der er væsentlig for kritiske samfundsmæssige eller økonomiske aktiviteter. Størrelse er altså ikke hele forklaringen.

Grænseværdierne står i loven, og kunden har lavet vurderingen, da den registrerede sig. For en leverandør er det nok at vide, hvilken kategori kunden mener at tilhøre. → Bilag 1 og 2

Foranstaltningerne er de samme

Det mest oversete punkt er, at § 6 gælder både væsentlige og vigtige enheder. Begge skal træffe passende og forholdsmæssige foranstaltninger, og begge skal mindst have de ti forhold, som § 6, stk. 1, opregner, herunder forsyningskædesikkerhed og politikker og procedurer til vurdering af effektiviteten. Ledelsens godkendelse efter § 7 gælder også begge.

Derfor er der ingen grund til at tro, at en vigtig enhed har et svagere krav til forsyningskæden end en væsentlig. Proportionaliteten i § 6 betyder, at kravene skal passe til risikoen og enhedens forhold, ikke til kategorien som sådan. → NIS 2-lovens § 6

Forskellen ligger i tilsynet

Her skiller kategorierne sig ud:

Væsentlige enheder · § 21 giver myndigheden mulighed for at føre tilsyn løbende, bl.a. ved kontrol på stedet, regelmæssige og målrettede sikkerhedsaudits, sikkerhedsscanninger og krav om at få udleveret oplysninger og dokumentation.
Vigtige enheder · § 24 beskriver et reaktivt tilsyn. Myndigheden kan gribe ind efter indikationer på, at en enhed ikke overholder loven, og har så en række af de samme redskaber.

Direktivets artikel 32 og 33 har samme opdeling. Artikel 33 taler om efterfølgende tilsynsforanstaltninger over for vigtige enheder.

For leverandøren er konsekvensen praktisk. En væsentlig kunde kan blive bedt om dokumentation uden en konkret anledning og kan derfor ønske, at jeres testresultat ligger klar hele tiden. En vigtig kunde kan have samme behov, men måske først når noget har givet anledning til spørgsmål, fx en hændelse eller en henvendelse fra myndigheden. → Tilsynets audits og sikkerhedsscanninger hos kunden

Hvad det betyder for kravet til jer

Kategorien kan påvirke tre ting i kundens krav:

Hvor ofte kunden spørger · en kunde under løbende tilsyn har større grund til at følge op på faste tidspunkter.
Hvor hurtigt dokumentationen skal kunne udleveres · en kunde, der kan få besøg uden varsel, vil gerne have materialet liggende.
Hvor præcis dokumentationen skal være · kunden skal kunne forklare den over for en tilsynsførende.

Kategorien bør derimod ikke ændre, hvilke systemer der testes, eller hvad testen skal belyse. Det afhænger af, hvad kunden er afhængig af i jeres leverance. → Hvilke systemer forventer NIS2-kunden testet?

Når to kunder er i hver sin kategori

En leverandør af lønsystemer kan have en styrelse som væsentlig kunde og en mellemstor fremstillingsvirksomhed som vigtig kunde. Det kan være fristende at give den væsentlige kunde et mere omfattende testforløb. Det kan være mere fornuftigt at teste den fælles løsning én gang og så tilpasse dokumentationen: den væsentlige kunde får måske en fast årlig pakke, mens den vigtige kunde får det samme materiale, når kunden beder om det.

Hvis den ene kunde har en kundespecifik opsætning, er det opsætningen, ikke kategorien, der afgør, om den skal med i testen. Notér begrundelsen for valget, så I kan forklare begge kunder, hvorfor de har fået det samme grundlag.

Spørgsmål, der giver et brugbart svar

I stedet for at spørge til kategorien alene kan I stille spørgsmål, der fortæller jer, hvad kunden faktisk har brug for:

Hvornår skal dokumentationen bruges? · til en fast årlig gennemgang, til et tilsynsbesøg eller kun ved en konkret anledning.
Hvem skal læse den? · kundens sikkerhedsansvarlige, ledelsen eller en tilsynsførende, der ikke kender jeres løsning.
Hvilken del af leverancen er vigtigst for kunden? · svaret afgrænser testen bedre end kategorien.
Skal kunden kunne udlevere materialet videre? · det påvirker, hvilken version af resultatet I sender.

Svarene giver jer et grundlag for at aftale omfang, form og tidspunkt. Kategorien bliver så én oplysning blandt flere, ikke selve begrundelsen for kravet. En kunde, der selv er i tvivl om sin kategori, kan stadig svare på spørgsmålene, og det er dem, der afgør, hvad I skal levere.

Det skal I lade være med

At antage, at vigtige enheder har lempeligere foranstaltningskrav · § 6 gælder begge.
At bede kunden dokumentere sin kategori · det er kundens vurdering og kundens ansvar.
At lade kategorien bestemme testens omfang · leverancen og risikoen bør styre.
At nævne bødestørrelser i dialogen · det flytter fokus fra det, testen skal vise.
At love dokumentation på dagen uden en aftalt form · aftal, hvad der kan udleveres hurtigt.

Hvad kan og ikke kan konkluderes

Kundens kategori siger noget om, hvordan myndigheden kan føre tilsyn med kunden, og dermed om, hvornår kunden kan få brug for jeres dokumentation. Den siger ikke, at kravene til jer skal være større eller mindre. Foranstaltningskravene er de samme for begge kategorier, og kravene til leverandører følger af kundens risikovurdering og aftalen. En test hos jer ændrer ikke kundens kategori eller kundens pligter.