NIS2 som leverandør: hvad din kunde kan kræve af dine servere
Din kunde er omfattet af NIS2 og har sendt et spørgeskema eller et tillæg til kontrakten. Din egen virksomhed er måske for lille til selv at være omfattet, men kravene lander hos dig alligevel.
De fleste små leverandører er ikke selv omfattet af NIS2. Loven rammer virksomheder i de udpegede sektorer med mindst 50 ansatte eller over 10 mio. euro i både omsætning og balance. Men omfattede kunder skal efter NIS 2-lovens § 6 styre sikkerheden i forsyningskæden, og derfor lander kravene i din kontrakt: patching, adgangsstyring med MFA, logning, detektion, backup med testet gendannelse, kryptering og hurtig besked ved hændelser. Du skal kunne dokumentere, at kontrollerne kører. Det er ikke nok, at de er sat op.
Om du selv er omfattet af NIS2
Den danske udgave af direktiv (EU) 2022/2555 er lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, kaldet NIS 2-loven. Den blev vedtaget som lovforslag L 141 og trådte i kraft 1. juli 2025. Du er direkte omfattet, når din virksomhedstype står i lovens bilag 1 eller 2, og du samtidig har mindst en mellemstor virksomheds størrelse.
Bilag 1 dækker sektorer som energi, transport, sundhed, drikkevand, digital infrastruktur, forvaltning af ikt-tjenester og offentlig forvaltning. Bilag 2 dækker blandt andet post, affaldshåndtering, fødevarer, fremstilling, digitale udbydere og forskning. Størrelsen afgør resten:
| Størrelse | Type i bilag 1 | Type i bilag 2 |
|---|---|---|
| Under 50 ansatte, og omsætning eller balance højst 10 mio. euro | Ikke omfattet, medmindre en særregel gælder | Ikke omfattet, medmindre en særregel gælder |
| 50 ansatte eller flere, eller både omsætning og balance over 10 mio. euro | Vigtig enhed | Vigtig enhed |
| 250 ansatte eller flere, eller omsætning over 50 mio. og balance over 43 mio. euro | Væsentlig enhed | Vigtig enhed |
Grænserne følger EU-Kommissionens definition af små og mellemstore virksomheder i henstilling 2003/361/EF. Er du en del af en koncern, eller ejer en anden virksomhed 25 procent eller mere af dig, kan dens tal helt eller delvist tælle med i din størrelse. Vejledningen om anvendelsesområdet fra Styrelsen for Samfundssikkerhed (SAMSIK) forklarer, hvordan det regnes.
Et par særregler går forud for størrelsen. DNS-tjenesteudbydere, topdomænenavneadministratorer og tillidstjenesteudbydere er omfattet uanset størrelse, og myndighederne kan udpege enkelte kritiske virksomheder. Omfattede virksomheder skulle registrere sig via virk.dk senest 1. oktober 2025. Bliver man omfattet senere, er fristen to uger, og tre måneder for de digitale typer i lovens § 9. Er du i tvivl, går SAMSIK's gratis værktøj NIS 2-tjek kriterierne igennem med dig.
Hvis du selv er driftsleverandør (MSP)
Leverer du drift, administration eller vedligeholdelse af andres it, er din type nævnt direkte. Udbydere af administrerede tjenester, på engelsk managed service providers, står i bilag 1 under forvaltning af ikt-tjenester (business-to-business), og definitionen i § 3, nr. 34 dækker arbejde både hos kunden og på afstand. Størrelsesreglen gælder stadig. En driftsvirksomhed under grænsen er ikke omfattet, blot fordi den leverer drift.
Er du over grænsen, fører Digitaliseringsstyrelsen tilsyn med dig, og Kommissionens gennemførelsesforordning (EU) 2024/2690 gælder også. Den er langt mere konkret end loven og kræver for eksempel, at sikkerhedsopdateringer installeres inden for rimelig tid, testes før produktion og kommer fra betroede kilder. Ren webhosting er ifølge Digitaliseringsstyrelsen ikke omfattet, men cloud- og datacentertjenester er, og mange webhoteller leverer også dem.
Kravene ender alligevel hos dig
NIS 2-lovens § 6 pålægger omfattede virksomheder ti minimumsforanstaltninger. Nummer 4 er forsyningskædesikkerhed, herunder sikkerheden i forholdet mellem virksomheden og dens direkte leverandører og tjenesteudbydere. Det svarer til direktivets artikel 21, stk. 2, litra d. Artikel 21, stk. 3 går et skridt videre og kræver, at kunden tager højde for sårbarheder hos den enkelte leverandør og for kvaliteten af leverandørens sikkerhedspraksis. Betragtning 85 opfordrer til at skrive kravene ind i kontrakten.
Kunden kan altså købe driften ude, men pligten bliver hos kunden. Loven lægger den på den omfattede virksomhed, og § 7 kræver, at dens ledelse godkender foranstaltningerne og fører tilsyn med dem. SAMSIK peger på kontrakten, aftaler om serviceniveau og revision som redskaberne.
Til gengæld skal kravene stå mål med risikoen. SAMSIK skriver, at det ikke betyder, at kunden skal stille præcis de samme krav til dig, som kunden selv er underlagt, eller kræve en særlig certificering eller revisionserklæring. Kræver kunden ISO 27001 eller en ISAE 3402-erklæring, er det kundens eget valg, for loven kræver det ikke.
Det, kunden kan bede dig om
SAMSIK's vejledning om cybersikkerhedsforanstaltninger opregner, hvad en kontrakt med en direkte leverandør eksempelvis kan indeholde. Brug listen som tjekliste, før kunden gør det:
- at du og det, du leverer, følger relevante sikkerhedskrav, lovkrav og standarder
- hvilke færdigheder dit personale skal have, og baggrundstjek af dem, der arbejder med kundens kritiske systemer
- at du underretter kunden om relevante hændelser, så snart du bliver opmærksom på dem, og hjælper med kundens egen indberetning
- at du håndterer sårbarheder, der udgør en risiko for kundens systemer
- kundens ret til revision, eller til at få revisionsrapporter fra dig
- at du samarbejder, hvis myndigheden fører tilsyn med kunden
- leveringstider på service og reparationer
- om du må bruge underleverandører, og hvilke krav der så gælder for dem
- hvad der sker ved aftalens ophør, herunder udlevering og sletning af data
Det meste handler om kontrakt og organisation, men resten skal du kunne bevise på serverne.
Fra kontraktkrav til konkrete serverkontroller
Tabellen kobler § 6, stk. 1 til det, der skal være på plads på en Linux-server, med SAMSIK's vejledning som grundlag.
| Område | NIS 2-loven | Krav på serveren |
|---|---|---|
| Patching og sårbarheder | § 6, nr. 5 | Sikkerhedsopdateringer inden for en fast frist, kernen medregnet. Sårbarhedsscanning med jævne mellemrum og en skriftlig begrundelse, når en sårbarhed ikke rettes. |
| Adgangsstyring og MFA | § 6, nr. 9 og 10 | Personlige konti og SSH-nøgler, ingen delt root-adgang. Administrativ adgang over et privat netværk frem for en åben port, og MFA på fjernadgang og administrative systemer. |
| Logning og opbevaring | § 6, nr. 2 | Log af privilegeret adgang, ændringer i brugere og rettigheder og adgang til konfigurations- og backupfiler. Logs sendt væk fra maskinen, beskyttet mod manipulation, gemt i en fastsat periode og med synkroniseret tid. |
| Detektion af hændelser | § 6, nr. 2 | Automatiseret overvågning, fx indbrudsdetektion og overvågning af filintegritet, med tærskler der sender en alarm til et menneske, som reagerer. |
| Backup og gendannelse | § 6, nr. 3 | Kopier uden for serverens netværk og på afstand, adgangsstyrede og krypterede, med en begrundet opbevaringsperiode. Gendannelse testet med jævne mellemrum og resultatet skrevet ned. |
| Kryptering | § 6, nr. 8 | Krypteret administrativ adgang og krypterede backups, beskrevet i en politik for brug af kryptografi. |
| Hændelser til kunden | §§ 12, 13 og 15 | En aftalt kanal og en besked, der indeholder det, kunden selv skal bruge i sin tidlige varsling til myndighederne. |
Kernen er der, hvor patching oftest halter. Canonical skriver selv, at et opdateret system skal genstartes, før ændringerne træder i kraft. En server, der har hentet den nye kernepakke uden genstart, kører stadig den gamle kerne. Enten har du faste genstarter, eller også bruger du live patching, og du skal kunne sige hvilket, når kunden spørger. Guiden om kernel live patching gennemgår forskellen.
Logs skal kunne tåle et indbrud. Den, der er brudt ind, kan slette logs, der kun ligger på serveren. SAMSIK anbefaler logdata sikret mod manipulation, opbevaret i en på forhånd fastsat periode og overvåget uafhængigt af de systemer, de logger. Skriv perioden i kontrakten, så den ikke afhænger af, hvor meget disk der er tilbage.
For backup er det testen, der tæller. Vejledningen anbefaler regelmæssige tests af, at kopierne er fuldstændige og kan gendannes, og at resultatet dokumenteres og godkendes af den relevante ledelse. Et grønt backupjob besvarer ikke det spørgsmål. Guiden om backup der kan gendannes viser, hvordan du bygger en backup, der kan gendannes.
Hændelser har frister. Kunden skal sende en tidlig varsling til myndigheden og CSIRT'en senest 24 timer efter at have fået kendskab til en væsentlig hændelse, en egentlig underretning inden 72 timer og en endelig rapport senest en måned efter underretningen. Opdager din overvågning hændelsen, er det din besked, der giver kunden kendskab til den. Aftal på forhånd, hvem du kontakter, og at beskeden siger, hvad der er sket, hvornår, hvilke systemer der er ramt, og om du mistænker en ulovlig eller ondsindet handling. Det sidste skal kundens tidlige varsling oplyse.
Det gør Wardio, og det gør Wardio ikke
Wardio implementerer og dokumenterer de tekniske kontroller på serveren. På hver maskine kører KernelCare til kernepatching uden genstart, Wazuh til indbrudsdetektion, loganalyse og overvågning af filintegritet, Netdata til alarmer, og Tailscale, så SSH ikke står åben på internettet. Login til Tailscale går gennem en identitetsudbyder og arver dens MFA-indstillinger. Backup kører med restic og resticprofile til objektlager i et andet fejldomæne, krypteret af restic, med planlagt integritetskontrol. Wardio gemmer alarmhistorik, filintegritetshændelser, patchhistorik og resultater af backupkontrol og kan trække dem ud, når en kunde spørger.
Det gør ikke din virksomhed NIS2-compliant. Risikovurdering, politikker, ledelsens godkendelse, kontrakter, uddannelse og personalesikkerhed ligger uden for serveren, og en enkeltmandspraksis er ikke en revisor. Du får den tekniske halvdel gjort ordentligt, med dokumentation du kan sende videre. Samme afgrænsning står på siden om compliance-kontroller, og siden om it-drift beskriver selve driften.
Ikke juridisk rådgivning. Siden gengiver loven og vejledningerne, som de stod 23. september 2026. Er du i tvivl om, hvorvidt du er omfattet, eller hvad kontrakten bør indeholde, så spørg den sektoransvarlige myndighed eller en jurist.
Kilder
- Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), Retsinformation, Ministeriet for Samfundssikkerhed og Beredskab
- L 141 (2024-25), forslag til NIS 2-loven, Folketinget, vedtaget 29. april 2025
- Bekendtgørelse nr. 620 af 2. juni 2025 om udpegning af kompetente myndigheder og digital kommunikation omfattet af NIS 2-loven, Retsinformation
- Direktiv (EU) 2022/2555 (NIS 2-direktivet), EUR-Lex, 14. december 2022
- Kommissionens henstilling 2003/361/EF om definitionen af mikrovirksomheder, små og mellemstore virksomheder, EUR-Lex, 6. maj 2003
- Kommissionens gennemførelsesforordning (EU) 2024/2690, EUR-Lex, 17. oktober 2024
- Vejledning til NIS 2-loven: Anvendelsesområdet, Styrelsen for Samfundssikkerhed, maj 2025
- Vejledning til NIS 2-loven: Implementering af cybersikkerhedsforanstaltninger, Styrelsen for Samfundssikkerhed, juni 2025
- Registrering af enheder efter NIS 2-loven, Styrelsen for Samfundssikkerhed
- Spørgsmål og svar om NIS 2, Styrelsen for Samfundssikkerhed
- NIS 2-tjek, Styrelsen for Samfundssikkerhed
- Spørgsmål og svar om NIS 2, Digitaliseringsstyrelsen
- Ubuntu Livepatch, Canonical
- KernelCare Enterprise documentation, TuxCare
- Multifactor authentication (MFA), Tailscale
- restic references: design, restic documentation
Spørgsmål
Er små virksomheder omfattet af NIS2?
Som udgangspunkt ikke direkte. NIS 2-loven gælder for virksomheder af de typer, der står i lovens bilag 1 og 2, og som har mindst 50 ansatte eller både årsomsætning og balance over 10 mio. euro. Enkelte typer er omfattet uanset størrelse, fx DNS-tjenesteudbydere og tillidstjenesteudbydere. Små virksomheder mærker i stedet loven indirekte, fordi omfattede kunder skal stille sikkerhedskrav til deres direkte leverandører.
Hvilke krav stiller NIS2 til leverandører?
Loven stiller ingen krav direkte til en leverandør, der ikke selv er omfattet. Kravene kommer via kunden, som efter NIS 2-lovens § 6, stk. 1, nr. 4 skal sikre forsyningskæden. Styrelsen for Samfundssikkerhed nævner blandt andet sikkerhedskrav i kontrakten, besked om hændelser så snart leverandøren bliver opmærksom på dem, håndtering af sårbarheder, ret til revision og regler for underleverandører og for data ved aftalens ophør. Kravene skal stå mål med leverancens betydning.
Er en managed service provider omfattet af NIS2?
Ja, hvis den er stor nok. Udbydere af administrerede tjenester står i NIS 2-lovens bilag 1 og defineres som virksomheder, der installerer, administrerer, driver eller vedligeholder andres it, på stedet eller på afstand. Med mindst 50 ansatte eller både omsætning og balance over 10 mio. euro er man mindst en vigtig enhed under tilsyn af Digitaliseringsstyrelsen, og så gælder også gennemførelsesforordning (EU) 2024/2690 med detaljerede tekniske krav.
Kan man outsource NIS2-ansvaret til sin it-leverandør?
Nej. Opgaverne kan købes ude, men pligterne i NIS 2-loven ligger hos den omfattede virksomhed, og § 7 kræver, at dens ledelse godkender sikkerhedsforanstaltningerne og fører tilsyn med dem. Derfor skal kunden kunne vise, at leverandøren lever op til kravene i kontrakten, fx gennem aftaler om serviceniveau, revision eller revisionsrapporter. Leverandøren skal levere dokumentationen, men ansvaret bliver hos kunden.
Skal min kunde kræve ISO 27001 eller en revisionserklæring af mig?
Det kræver loven ikke. Styrelsen for Samfundssikkerhed skriver, at NIS 2-omfattede virksomheder ikke skal stille præcis de samme krav til leverandører, som de selv er underlagt, og ikke skal kræve en særlig certificering eller revisionserklæring. Kunden skal vurdere risikoen ved leverancen og stille forholdsmæssige krav. En kunde kan stadig vælge at bede om en certificering, men så er det et kontraktkrav og ikke et lovkrav.
Gennemgangen viser, hvilke serverkontroller der kører i dag, og hvad du kan dokumentere. Se hvad drift koster.