NIS2 kræver, at omfattede enheder styrer risici i forholdet til deres direkte leverandører, men loven nævner ikke ordet jurisdiktion. Koblingen hviler på direktivets egne bestemmelser om leverandørspecifikke sårbarheder og ikketekniske risikofaktorer.
Artiklen gennemgår, hvad den danske lov og direktivet faktisk siger, hvor jurisdiktion kommer ind, og hvordan oplysningerne om ejer og lovvalg kan dokumenteres i leverandørregistret. Selve NIS2-arbejdet med politikker, hændelser og rapportering ligger uden for artiklen.
Hvad den danske lov kræver
Den danske NIS 2-lov, lov nr. 434 af 6. maj 2025, trådte i kraft 1. juli 2025. Efter § 6, stk. 1, skal væsentlige og vigtige enheder træffe passende og forholdsmæssige foranstaltninger for at styre risici for deres net- og informationssystemer.
Foranstaltningerne skal som minimum omfatte en række områder. Nr. 4 er forsyningskædesikkerhed, herunder sikkerhedsrelaterede forhold mellem enheden og dens direkte leverandører eller tjenesteudbydere. Efter § 7 skal foranstaltningerne godkendes af enhedens ledelsesorgan, som også fører tilsyn med gennemførelsen.
For offentlige myndigheder er ledelsesorganet efter lovens definitioner den øverste administrative ledelse. Leverandørstyringen er altså en ledelsesopgave, også når den udføres af indkøb eller IT.
Direktivet kræver hensyn til den enkelte leverandør
Loven gennemfører NIS 2-direktivet, direktiv (EU) 2022/2555. Artikel 21, stk. 3, uddyber kravet om forsyningskædesikkerhed.
Efter bestemmelsen skal enhederne tage hensyn til de sårbarheder, der er specifikke for hver direkte leverandør og tjenesteudbyder, og til den generelle kvalitet af leverandørernes produkter og cybersikkerhedspraksis. Enhederne skal også tage hensyn til resultaterne af de koordinerede risikovurderinger af kritiske forsyningskæder, som foretages på EU-plan efter artikel 22.
Formuleringen er bred. Den afgrænser ikke de leverandørspecifikke sårbarheder til tekniske forhold, og det er her, ejerskab og lovvalg kan høre hjemme.
Ikketekniske risikofaktorer
Efter artikel 22, stk. 1, kan samarbejdsgruppen sammen med Kommissionen og ENISA vurdere specifikke kritiske forsyningskæder. Vurderingerne skal tage hensyn til tekniske og, hvor det er relevant, ikketekniske risikofaktorer.
Direktivets betragtning 90 nævner som eksempler på ikketekniske risikofaktorer et tredjelands utilbørlige påvirkning af leverandører og tjenesteudbydere. Samme betragtning nævner potentielle systemiske forstyrrelser i forsyningen, navnlig ved teknologisk fastlåsning eller afhængighed af en udbyder.
Betragtning 91 peger på kriterier som tilgængeligheden af alternativer og afhængigheden af specifikke tjenester. Den nævner også, at der bør lægges særlig vægt på tjenester og produkter, der er underlagt specifikke krav fra tredjelande. Betragtningerne skaber ingen selvstændige pligter. De viser, hvad direktivet forstår ved risici i forsyningskæden.
Skærpede krav til digitale udbydere
For cloududbydere, datacentre, administrerede tjenester og en række andre digitale udbydere gælder gennemførelsesforordning (EU) 2024/2690 fra 17. oktober 2024. Bilagets punkt 5.1 kræver en politik for forsyningskædesikkerhed.
Efter punkt 5.1.2 skal politikken indeholde kriterier for valg af leverandører, herunder enhedens evne til at sprede sine forsyningskilder og begrænse fastlåsning til en leverandør. Efter punkt 5.1.4 skal kontrakterne, hvor det er relevant, beskrive krav til underleverandører og leverandørens forpligtelser ved kontraktens ophør.
Forordningen gælder kun for de digitale udbydere, den nævner. Kriterierne kan alligevel bruges som målestok af andre, fordi de konkretiserer artikel 21 i direktivet. Nogle af jeres leverandører vil selv være omfattet og kan derfor svare på samme spørgsmål.
Finanssektoren er længere fremme
Finansielle enheder er omfattet af DORA, forordning (EU) 2022/2554, der er mere konkret om jurisdiktion. Efter artikel 29 skal de vurdere fordele og risici ved underleverandører med hjemsted i et tredjeland.
Ved kontrakter med en udbyder i et tredjeland skal de tage hensyn til overholdelsen af EU’s databeskyttelsesregler og den effektive håndhævelse af retten i landet. De skal også se på reglerne for insolvens, hvis udbyderen går konkurs, og på begrænsninger for hurtig genopretning af data.
DORA gælder ikke for andre end finansielle enheder. Den viser dog, hvilke spørgsmål en jurisdiktionsvurdering kan indeholde, når den skrives ind i en leverandørstyring. Koncentrationsrisikoen er beskrevet i → koncentrationsrisiko.
Hvad jurisdiktion betyder for en leverandør
Jurisdiktion handler i denne sammenhæng om, hvilke staters love der kan pålægge leverandøren at udlevere data, afbryde en tjeneste eller ændre den. Det følger det selskab, der leverer, og dets ejere.
- Udlevering af data · amerikanske udbydere kan efter 18 U.S.C. § 2713 pålægges at udlevere data, de har kontrol over, uanset hvor data ligger, jf. → Cloud Act.
- Afbrydelse · sanktionsregler kan forpligte en leverandør til at stoppe leverancen til bestemte kunder, jf. → sanktioner og dekreter.
- Kæden bag · en europæisk leverandør kan bruge underleverandører under en anden stats love, jf. → trin 3.
Dataforordningen, der gælder fra 12. september 2025, pålægger desuden udbydere af databehandlingstjenester efter artikel 28 i forordning (EU) 2023/2854 at oplyse på deres websted, hvilken jurisdiktion infrastrukturen er underlagt. Den oplysning er et oplagt udgangspunkt for registret.
Sådan dokumenteres jurisdiktion i leverandørregistret
Har I allerede et leverandørregister til NIS2 eller GDPR, kan jurisdiktion føjes til som faste felter, så oplysningerne kan efterprøves ved tilsyn.
- Juridisk enhed · det selskab, kontrakten er indgået med, med registreringsland og registreringsnummer, jf. → trin 2.
- Ejer · det øverste moderselskab og dets hjemland, med kilde i register eller årsrapport.
- Udbyderens egen oplysning · den jurisdiktion, udbyderen angiver efter dataforordningens artikel 28, med link og dato.
- Underleverandører · de væsentlige underleverandører og deres hjemland.
- Hvad leverandøren kan · om leverandøren kan lukke, se eller ændre tjenesten, og med hvilket varsel, jf. → trin 4.
- Vurdering · en kort begrundet vurdering af den ikketekniske risiko, godkendt af den ansvarlige.
- Exit-vej · henvisning til exit-planen for systemet og den seneste dato for gennemgang.
Feltet om vurdering dokumenterer, at risikoen er set, vejet og accepteret eller håndteret af ledelsen, som § 7 forudsætter.
Oplysningerne bør hentes fra kilder, der kan efterprøves. Ejerskab findes i handelsregistre og årsrapporter, mens underleverandører og jurisdiktion findes i leverandørens egne dokumenter. Gem en kopi eller et link med dato for hver kilde, så næste gennemgang kan se, hvad der er ændret.
Leverandøren kan også bidrage selv. Mange spørgsmål om ejerskab og kæde kan stilles i et fast skema, som beskrevet i → leverandørens dokumentation til kunder. Svarene bliver bedre, når spørgsmålene er de samme for alle leverandører, fordi de så kan sammenlignes.
Offentlige organisationer
Lovens bilag omfatter offentlige forvaltningsenheder under den centrale forvaltning og på regionalt plan. Efter § 1, stk. 7, kan den ansvarlige minister fastsætte regler om, at loven helt eller delvis også gælder for offentlige forvaltningsenheder på lokalt plan. Kommuner bør derfor kontrollere, hvilke regler der er fastsat for dem, før de lægger omfanget af leverandørstyringen fast.
Offentlige organisationer har desuden udbudsreglerne at tage hensyn til, når krav om jurisdiktion skal formuleres. Hvordan det kan beskrives i et udbud, står i → jurisdiktion i offentlige udbud.
Typiske fejl
En fejl er at registrere den danske forhandler som leverandør og stoppe der. Forhandleren er ofte kontraktpart, men tjenesten leveres af en udbyder med en anden ejer og en anden jurisdiktion.
En anden fejl er at behandle jurisdiktion som et ja eller nej. Feltet bør beskrive, hvilke love der gælder, og hvad de kan betyde, så ledelsen kan træffe en begrundet beslutning. En tredje fejl er at lade vurderingen ligge, når leverandøren bliver opkøbt eller skifter underleverandør. Ejerskab kan ændre sig i løbet af en kontraktperiode, jf. → opkøb og kapital, og gennemførelsesforordningen kræver for de digitale udbydere, at politikken gennemgås, når der sker væsentlige ændringer.
Hvad kravene kan og ikke kan
NIS2 giver et retligt grundlag for at spørge ind til leverandørens ejer og lovvalg som en del af forsyningskædesikkerheden. Direktivet nævner selv tredjelandes påvirkning og afhængighed af en udbyder som risikofaktorer.
Kravene foreskriver ikke leverandørens nationalitet, og de forbyder ikke leverandører fra bestemte lande. Hvor langt en enhed skal gå, afhænger af proportionalitet og af tilsynsmyndighedens praksis. Den juridiske vurdering af en konkret kontrakt hører hjemme hos jurister.
Betydningen for exit-planen
Leverandørregistret og exit-planen bygger på de samme oplysninger. Når jurisdiktion er registreret pr. leverandør, kan exit-planen prioritere de systemer, hvor en høj ikketeknisk risiko møder en høj forretningsmæssig betydning.
Tilføj felterne til registret, og udfyld dem for de mest kritiske leverandører først. Når registret viser leverandører, hvor ledelsen ikke kan acceptere risikoen, kan en uvildig gennemgang give et bedre grundlag. Nielco IT laver en jurisdiktions- og afhængighedsvurdering, der også dækker NIS2-leverandørstyring.
Kilder
- Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), Lovtidende A, udgivet 7. maj 2025. https://www.retsinformation.dk/eli/lta/2025/434
- Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 (NIS 2-direktivet), EUT L 333 af 27.12.2022. https://publications.europa.eu/resource/cellar/9b84d482-85bd-11ed-9887-01aa75ed71a1.0003.01/DOC_1
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, EUT L af 18.10.2024. https://publications.europa.eu/resource/cellar/28f15de8-8ce9-11ef-a130-01aa75ed71a1.0003.01/DOC_1
- Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 (DORA), EUT L 333 af 27.12.2022. https://publications.europa.eu/resource/cellar/0caf473a-85bd-11ed-9887-01aa75ed71a1.0003.01/DOC_1
- Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 (dataforordningen). https://publications.europa.eu/resource/cellar/ef51c6ab-a06c-11ee-b164-01aa75ed71a1.0003.01/DOC_1
- Cornell Law School, Legal Information Institute: 18 U.S. Code § 2713. https://www.law.cornell.edu/uscode/text/18/2713
