Er jeres kunde omfattet af NIS 2-loven, og er I det ikke, gælder lovens krav ikke direkte for jer. Kunden har dog pligt til at styre sikkerheden i forsyningskæden, og den pligt når frem til jer gennem kontrakter, spørgeskemaer og krav om dokumentation, som en egen audit kan forberede jer på.
Mange mindre leverandører opdager NIS 2 på den måde. Et brev fra en kunde med nye kontraktvilkår eller et skema med spørgsmål om hændelser, adgang og underleverandører. Spørgsmålet “nis2 hvem er omfattet” får så et uventet svar. Det er kunden, der er omfattet, og I bliver alligevel bedt om at svare.
Hvem er omfattet, kort fortalt
NIS 2-loven gælder for offentlige og private enheder af de typer, der står i lovens bilag 1 og 2 (§ 1). En enhed af en type i bilag 1 er væsentlig, hvis den beskæftiger 250 personer eller flere eller opfylder lovens økonomiske tærskler (§ 4). Andre enheder i bilag 1 eller 2 er vigtige, hvis de beskæftiger 50 personer eller flere eller opfylder tærsklerne (§ 5). Der er undtagelser, hvor størrelsen ikke betyder noget. Gennemgangen her er en forenkling. Hører jeres egen virksomhed til en af typerne i bilagene, er det værd at få afklaret, om I selv er omfattet, før resten af artiklen bruges.
Hvad kundens pligt består i
Efter § 6, stk. 1 skal en omfattet enhed have passende og forholdsmæssige foranstaltninger til at styre sine risici. Ét af de ti punkter, nr. 4, handler om forsyningskæden og nævner udtrykkeligt de sikkerhedsmæssige sider af enhedens forhold til dens direkte leverandører og tjenesteudbydere.
Styrelsen for Samfundssikkerhed har i sin vejledning fra juni 2025 et helt afsnit om emnet. Enheden skal have procedurer for leverandørstyring i det omfang, en leverandørs ydelse kan påvirke sikkerheden. Tilgangen er risikobaseret, og kravene står i forhold til, hvor meget leverancen betyder. Vejledningen gør også opmærksom på, at det gælder andre kritiske leverancer end IT.
Fortolkningen her er, at pligten ligger hos kunden. Det er kunden, tilsynet ser på. Jeres forpligtelser opstår, når kunden skriver kravene ind i en aftale med jer.
Hvad I kan blive bedt om
Vejledningen nævner en række punkter, en kontrakt mellem enheden og leverandøren kan indeholde. De er gengivet i kort form:
- sikkerhedskrav til leverancen
- krav til de færdigheder, jeres personale har
- baggrundskontrol af medarbejdere
- underretning af kunden om hændelser
- samarbejde, hvis kunden får tilsyn
- ret for kunden til revision eller til at modtage revisionsrapporter
- håndtering af sårbarheder
- krav til jeres underleverandører
- forpligtelser, når samarbejdet ophører.
Vejledningen bruger ordet “kan”. Det er altså ikke sikkert, at kunden beder om det hele, og det, der bliver bedt om, afhænger af, hvor meget jeres ydelse betyder for kundens sikkerhed.
Hvordan en egen audit forbereder svaret
En audit, som I selv bestiller, kan bruge kundens krav eller vejledningens punkter som kriterier. Den giver jer tre ting, før kunden spørger:
Et overblik over, hvad I kan opfylde i dag. For hvert punkt står, hvad der er på plads, og hvad der kan vises.
Et grundlag for at forhandle kontrakten. Når I ved, hvad der kan lade sig gøre, kan I foreslå realistiske frister for underretning eller sige nej til krav, der ikke passer til ydelsen.
Et bevis, der kan genbruges. Flere kunder stiller ofte de samme spørgsmål. Et samlet grundlag kan bruges til dem alle.
Om kundens revisionsret, og hvordan kunden læser en erklæring som modtager, kan I læse mere i krav til leverandører i kunderelationen. Er I selv omfattet og samtidig leverandør til andre omfattede, er situationen en anden; så gælder loven også jeres egen organisation.
Det, en egen audit ikke gør
En audit bestilt af jer gør jer ikke omfattet, og den opfylder ikke kundens pligt. Kunden har stadig selv ansvaret for at vurdere jer som leverandør. Auditten gør jer bedre til at svare, når kunden gør det.
Tænkt eksempel: En mindre virksomhed leverer vedligehold af styringsudstyr til et vandværk. Vandværket beder om underretning om hændelser inden for et bestemt tidsrum. En egen audit viser, at ingen hos leverandøren har ansvaret for at opdage hændelser uden for arbejdstid. Leverandøren kan nu enten indrette sig eller forhandle fristen, før kontrakten underskrives.
Hvad det kræver, og hvad det koster at lade være
En audit med kundens krav som kriterier kræver kontrakten eller skemaet, en liste over de ydelser, I leverer, og adgang til dem, der har ansvaret for drift og sikkerhed. Er der flere omfattede kunder, er det en fordel at samle deres krav, før auditten afgrænses.
Uden forberedelse bliver kontrakten underskrevet med krav, I ikke kan leve op til, eller svarene trækker ud, mens kunden venter. For en kunde med pligt til leverandørstyring er en leverandør, der ikke kan svare, en risiko, og så kan aftalen ende hos en anden.
Det skal I lade være med
- At tro, at loven ikke vedrører jer · kravene når frem gennem kontrakten.
- At underskrive krav, I ikke har vurderet · en frist, der ikke kan holdes, bliver et løfte, I bryder.
- At svare forskelligt til hver kunde · ét samlet grundlag giver ens svar.
Det skal auditten kunne vise
- ☐ De krav, kunderne stiller, samlet og brugt som kriterier.
- ☐ Hvad der er opfyldt pr. krav, og hvilket bevis der ligger bag.
- ☐ De krav, der ikke kan opfyldes, med en plan eller et forhandlingsforslag.
- ☐ Hvem hos jer der står for underretning af kunder om hændelser.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 1, 4, 5 og 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, “Implementering af cybersikkerhedsforanstaltninger”, 1. udgave juni 2025, afsnit 4, s. 28-30, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Lige under NIS2-grænsen · Hvad er en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
