Leverandører til virksomheder og myndigheder, der er omfattet af NIS2, kan forvente sikkerhedsskemaer fra deres kunder. Arbejdet med at svare hviler på, at leverandøren kender sin egen ejerkreds, sin hosting og sine underleverandører, før spørgsmålene kommer.
Artiklen er skrevet til leverandøren. Den forklarer, hvorfor kunderne spørger, hvilke krav de selv skal leve op til, og hvilke oplysninger om ejerskab og kæde der går igen. Den vurderer ingen konkrete skemaer eller kontrakter.
Hvorfor skemaerne kommer
NIS 2-loven trådte i kraft 1. juli 2025. Efter § 6, stk. 1, nr. 4, skal omfattede enheder sikre forsyningskæden, herunder forholdet til deres direkte leverandører og tjenesteudbydere.
Trafikstyrelsen, der fører tilsyn med transportsektoren, skriver på sin side om NIS2, at loven ikke i sig selv stiller krav til underleverandører. En leverandør til en omfattet virksomhed må dog forvente, at kunden stiller relevante krav. Styrelsen anbefaler kunderne en risikobaseret tilgang, hvor kravene står i forhold til den konkrete leverances betydning.
Kravene når altså leverandøren gennem kundens kontrakt og ikke gennem en myndighed. Kundens side af sagen beskrives i → NIS2 og leverandørstyring.
Hvad kontrakten kan komme til at indeholde
For en række digitale tjenester er kravene gjort konkrete i Kommissionens gennemførelsesforordning (EU) 2024/2690. Den gælder blandt andet udbydere af cloudtjenester, datacentre, administrerede tjenester og administrerede sikkerhedstjenester.
Efter bilagets punkt 5.1.4 skal disse enheder, hvor det er relevant, skrive følgende ind i kontrakterne med deres leverandører:
- cybersikkerhedskrav til leverandøren,
- krav til medarbejdernes kvalifikationer og i givet fald certificeringer samt baggrundskontrol,
- pligt til at underrette kunden om hændelser uden unødig forsinkelse,
- ret til audit eller til at modtage auditrapporter,
- pligt til at håndtere sårbarheder,
- krav til underentreprise, herunder sikkerhedskrav til underleverandører,
- leverandørens forpligtelser ved kontraktens ophør, fx udlevering og sletning af oplysninger.
Andre kunder er ikke bundet af listen. For de omfattede enheder gælder punkterne desuden kun, hvor de er relevante for den konkrete leverance. Den kan alligevel bruges som skabelon, fordi den er den mest detaljerede beskrivelse i lovgivningen.
Kunden skal også kunne komme ud
Samme bilag kræver i punkt 5.1.2, at kunden fastsætter kriterier for valg af leverandører. Et af kriterierne er kundens evne til at sprede forsyningskilderne og begrænse fastlåsning til én leverandør, hvor det er relevant.
For leverandøren betyder det, at spørgsmål om dataudlevering, formater og ophør hører naturligt hjemme i skemaet. Et klart svar på, hvordan kunden kommer ud, kan derfor styrke tilbuddet. Kundens krav til exit-vilkår gennemgås i → trin 8 om kontrakten.
Et eksempel fra Sverige
Den svenske systemleverandør Miljödata blev ramt af et IT-angreb i august 2025, og personoplysninger blev efterfølgende offentliggjort. Det svenske tilsyn IMY indledte derefter tilsyn med både leverandøren og flere af dens kunder.
I brevet til Region Västmanland af 3. november 2025 undersøger IMY, om regionen havde truffet passende tekniske og organisatoriske foranstaltninger efter databeskyttelsesforordningens artikel 32. Regionen skulle blandt andet redegøre for, hvordan ansvaret for sikkerhedsforanstaltningerne var fordelt mellem regionen og leverandøren.
Sagen handler om databeskyttelse og ikke om NIS2. Den viser alligevel, hvorfor kunder vil have leverandørens svar på skrift. Det er kunden, der skal forklare sig over for tilsynet. En leverandør, der allerede har beskrevet ansvarsfordelingen og sine sikkerhedsforanstaltninger, gør det arbejde lettere for kunden.
Oplysninger om ejerskab
Kunden har brug for at vide, hvilken juridisk enhed der indgår aftalen, og hvem der står bag den. Det gælder især, når kunden selv skal vurdere, hvilket lands lovgivning ejeren er underlagt.
- Juridisk enhed · Navn, CVR-nummer eller udenlandsk registreringsnummer og hjemland.
- Moderselskab · Hele koncernkæden op til det øverste moderselskab, med registreringsland for hvert led.
- Reelle ejere · Danske selskaber skal registrere deres reelle ejere i CVR efter Erhvervsstyrelsens vejledning. En henvisning til registreringen sparer kunden for et opslag.
- Ændringer · Hvordan kunden får besked, hvis ejerkredsen ændres.
Kundens metode til at efterprøve oplysningerne står i → trin 2 om juridisk enhed og moderselskab. Hvorfor ejerskifter tæller, uddybes i → ejerskab skifter ved opkøb og kapital.
Oplysninger om hosting og drift
Kunden kan spørge, hvor data ligger, hvem der driver systemerne, og hvorfra der ydes support. De tre spørgsmål svarer til modellen i → de tre lag, og svarene bør holdes adskilt.
Bruger leverandøren en cloudplatform, skal platformens ejer og region fremgå. Ydes support eller overvågning fra lande uden for EU, eller døgnet rundt fra skiftende lokationer, bør det også stå i svaret. Kunden har brug for at vide, hvorfra der kan opnås adgang, og hvor data ligger. En leverandør, der selv udbyder cloudtjenester, er omfattet af dataforordningens skifteregler, herunder pligten til at oplyse om infrastrukturens jurisdiktion, jf. → Data Act og skifteret.
Oplysninger om underleverandører
En liste over underleverandører er mest brugbar, når den for hver underleverandør viser navn, land, hvad den leverer, og om den har adgang til kundens data. Punkt 5.1.4, litra g, i gennemførelsesforordningen nævner netop krav til underentreprise.
Kunden kan også spørge, hvordan den får besked om nye underleverandører, og om den kan gøre indsigelse. Kæden set fra kundens side gennemgås i → trin 3 om underleverandører og kæde.
Sådan bygger leverandøren en fast svarpakke
Skemaer fra forskellige kunder kan stille de samme spørgsmål med forskellige ord. En fast pakke gør det muligt at svare ensartet og hurtigt.
- Ejerskabsark · Juridisk enhed, koncernkæde, reelle ejere og dato for seneste opdatering.
- Hosting og drift · Hvor data ligger, hvem der driver, hvorfra der ydes support, og hvem der har administratoradgang.
- Underleverandørliste · Navn, land, ydelse og adgang til data, med en fast procedure for varsling af ændringer.
- Hændelser · Hvordan og hvor hurtigt kunden får besked om en hændelse.
- Audit · Hvilke rapporter eller certificeringer kunden kan få, og på hvilke vilkår.
- Exit · Hvordan data udleveres, i hvilke formater, og hvordan sletning bekræftes.
- Leverancebeskrivelse pr. kunde · Hvad der går i stå hos kunden, hvis ydelsen falder ud.
Det sidste punkt gør det lettere at gå i dialog, når et skema stiller krav, der ikke står i forhold til leverancen. Trafikstyrelsens anbefaling om proportionale krav giver et fælles udgangspunkt for den dialog.
Typiske fejl i svarene
Nogle fejl går igen, når leverandører svarer på skemaer om ejerskab og kæde. De fleste skyldes, at svaret beskriver det nærmeste led og ikke hele kæden.
- Kun datacentrets land · Svaret nævner, at data ligger i Danmark eller EU, men ikke hvem der ejer platformen, og hvorfra den drives.
- Det nærmeste moderselskab · Koncernkæden stopper ved et europæisk holdingselskab, selv om det øverste moderselskab er registreret i et andet land.
- Værktøjer uden for listen · Programmer til fjernsupport, overvågning og billetsystemer mangler på listen, selv om de giver adgang til kundens miljø.
- Forskellige svar til forskellige kunder · Skemaer besvares af forskellige medarbejdere, og svarene modsiger hinanden.
- Udaterede svar · Kunden kan ikke se, hvor gamle oplysningerne er, og må spørge igen.
En fast svarpakke med dato og en navngiven ansvarlig person kan forebygge de fleste af fejlene.
Hvad dokumentationen kan og ikke kan
Dokumentationen kan give kunden et grundlag for sin egen risikovurdering og for exit-planen. Den kan også vise, at leverandøren kender sin kæde, hvilket kan tælle ved valg mellem tilbud.
Den kan ikke flytte kundens ansvar over på leverandøren. Den garanterer heller ikke, at oplysningerne holder i hele kontraktperioden. Ejerskab og underleverandører ændrer sig, og pakken skal derfor dateres og opdateres.
Betydningen for exit-planen
Kundens exit-plan bygger på leverandørens oplysninger. En leverandør, der kan beskrive ejerskab, kæde og udtræk præcist, gør planen mulig. For leverandøren selv er den samme gennemgang en anledning til at se på egne afhængigheder af platforme og underleverandører.
- Kortlæg jeres egne leverandører med samme metode som kunden, jf. → trin 1.
- Datér svarpakken, og fastlæg hvem der opdaterer den ved ejerskifte eller nye underleverandører.
- Beskriv exit for hver ydelse, så kunden kan bruge beskrivelsen direkte i sin plan.
Nielco IT’s jurisdiktions- og afhængighedsvurdering omfatter dokumentation til kunder, udbud og NIS2-leverandørstyring og gennemføres på organisationens eget materiale.
Kilder
- Retsinformation: Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), § 6 og § 33. https://www.retsinformation.dk/eli/lta/2025/434
- Trafikstyrelsen: NIS2, spørgsmål om underleverandører og forsyningskædesikkerhed, set 30.10.2026. https://www.trafikstyrelsen.dk/nis2
- Den Europæiske Unions Tidende (EUR-Lex): Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilag, punkt 5.1. https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/dan
- Integritetsskyddsmyndigheten (IMY): Tillsyn enligt dataskyddsförordningen, begäran om information, Region Västmanland, IMY-2025-21179, 3.11.2025. https://www.imy.se/globalassets/dokument/tillsynsskrivelser/2025/tillsynsskrivelse-region-vastmanland.pdf
- Erhvervsstyrelsen: Vejledning om reelle ejere, version 2, opdateret 11.3.2026. https://erhvervsstyrelsen.dk/vejledning-reelle-ejere
