En virksomhed i el, gas, brint, olie, fjernvarme eller fjernkøling skal efter bekendtgørelse nr. 260 af 6. marts 2025 have en leverandøraftale med bestemte punkter, når leverandøren kan påvirke forsyningssikkerheden eller sikkerheden i net- og informationssystemerne. Leverandøren skal kunne dokumentere over for virksomheden, at kravene er overholdt. En udtrykkelig revisionsret står der ikke i reglerne.
Det betyder, at kontrollen med leverandøren hviler på aftalen. Bekendtgørelsen siger, hvad der skal aftales. Hvordan virksomheden kontrollerer, at det bliver overholdt, er op til den.
Hvem reglerne gælder for
Bekendtgørelsen er udstedt af Energistyrelsen og gennemfører dele af NIS 2-direktivet og direktivet om kritiske enheders modstandsdygtighed. Energistyrelsens vejledning i leverandørstyring, version 1.1 af 6. juli 2026, er målrettet virksomheder på niveau 2 til 5 i de seks forsyningsarter.
Vejledningen slår fast, at virksomheden har ansvaret, også når driften er lagt ud til en leverandør. Leverandøren er ikke selv omfattet af tilsynet.
De otte aftalepunkter i § 30
Ved aftaler med direkte leverandører og tjenesteudbydere skal virksomheden efter § 30 sikre otte forhold:
- Krav til passende foranstaltninger.
- Underretning om væsentlige hændelser.
- Bistand med virksomhedens rapporteringspligter.
- At leverandøren kan inddrages, når Energistyrelsen fører tilsyn med virksomheden.
- Deltagelse i øvelser.
- Inddragelse i beredskabsarbejdet.
- Kriterier for at lægge opgaver ud til underleverandører.
- Ejerskab af data.
Efter § 32, stk. 1, skal kravene stå i en leverandøraftale. Stk. 2 kræver, at virksomheden sikrer, at leverandørerne over for virksomheden kan dokumentere, at kravene i aftalen er overholdt.
Fjernadgang
§ 31 handler om fjernadgang. Proceduren for at tildele og administrere leverandørens fjernadgang skal fremgå af leverandøraftalen. Vejledningen gør opmærksom på, at bekendtgørelsens regler om adgangsstyring i §§ 51 til 57 også gælder for leverandører.
For kontrollen er det et af de mest konkrete punkter. Der findes en procedure i aftalen, og der findes en liste over faktiske fjernadgange. De to kan holdes op mod hinanden.
Hvad Energistyrelsen kan, og hvad den ikke kan
Ifølge vejledningen kan Energistyrelsen ikke føre tilsyn med leverandøren efter bekendtgørelsen. Styrelsen kan påbyde virksomheden at sikre sig, at leverandøren lever op til reglerne, og den kan bede om, at leverandøren deltager i tilsynet. Kontrakten skal derfor sikre, at leverandøren kan indgå i et tilsyn ved fysisk fremmøde eller ved at være til rådighed for telefon- eller onlineinterviews i det tidsrum, tilsynet er varslet.
Det samme punkt i en bredere form, hvor kundens tilsynsmyndighed vil ind hos leverandøren, er beskrevet under pligten til at bistå tilsynet.
Dokumentationen efter § 32
Bekendtgørelsen stiller ikke krav til formen på leverandørens dokumentation. Vejledningen anbefaler at bruge den praksis for leverandørsamarbejde, virksomheden allerede har. Har virksomheden ikke dokumenterede processer for kontrol af leverandører, bør den oprette dem.
Om audit hos leverandøren skriver vejledningen forsigtigt, at det for nogle virksomheder måske kan give mening at gennemføre kontrolbesøg eller audits, enten med egne medarbejdere eller ved en ekstern part, fx i form af revisionserklæringer. Det er en mulighed, vejledningen nævner. Det er ikke et krav.
Virksomheder på niveau 4 og 5 skal efter vejledningen opbevare logs i 13 måneder og sikre sig adgang til dem, når en aftale ophører. Er loggene hos leverandøren, er adgangen et aftalepunkt.
Spørgsmålet i § 29
Under § 29 stiller vejledningen virksomheden et spørgsmål, der er værd at tage med i den årlige gennemgang: gennemfører I eventuelt audits hos kommende og eksisterende leverandører? Spørgsmålet forudsætter ikke et ja. Det beder virksomheden tage stilling og kunne forklare sit valg.
For en lille fjernvarmeforsyning med én driftsleverandør kan svaret være, at dokumentationen efter § 32 og et årligt møde er nok. For et større selskab med fjernadgang fra flere leverandører kan svaret være et besøg eller en erklæring. Valget bør stå skriftligt sammen med begrundelsen. Eksemplerne er tænkte.
Til leverandøren
Er I leverandør til en energivirksomhed, møder I kravene gennem kundens aftale og ikke direkte fra Energistyrelsen. Det, I kan forudse, er en anmodning om dokumentation for de otte punkter, en procedure for jeres fjernadgang, deltagelse i øvelser og en forpligtelse til at stille op, hvis kunden får tilsyn. Har I flere energikunder, kan én samlet dokumentation spare jer for at svare på det samme mange gange.
Kontrollen punkt for punkt
Ud fra § 30 til § 32 kan kontrollen af en leverandør bygges som en tabel. Den er vores forslag og et tænkt eksempel.
- § 30, nr. 2 · Hvad kunden ser efter: Er hændelser meldt inden for aftalens frist? · Bevis fra leverandøren: (Liste over hændelser med tidspunkt for underretning)
- § 30, nr. 5 · Hvad kunden ser efter: Har leverandøren deltaget i øvelser? · Bevis fra leverandøren: (Deltagerliste og evaluering fra seneste øvelse)
- § 30, nr. 7 · Hvad kunden ser efter: Er nye underleverandører valgt efter kriterierne? · Bevis fra leverandøren: (Liste over underleverandører med dato for godkendelse)
- § 31 · Hvad kunden ser efter: Svarer de faktiske fjernadgange til proceduren? · Bevis fra leverandøren: (Udtræk af aktive fjernadgange med ejer)
- § 32, stk. 2 · Hvad kunden ser efter: Kan leverandøren dokumentere overholdelse? · Bevis fra leverandøren: (Samlet status mod aftalens krav)
Leverandøren kan med fordel levere en sådan status af sig selv én gang om året. Så er kunden klar, hvis Energistyrelsen spørger.
Et offentligt ejet energiselskabs egen audit efter bekendtgørelsen er et andet emne, som behandles under audit i offentligt ejede selskaber og myndigheder.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen faktisk indeholder de otte punkter og en procedure for fjernadgang, og at nogen hos kunden indsamler leverandørens dokumentation og læser den. For leverandøren kræver det, at dokumentationen kan leveres uden at blive opfundet til lejligheden.
Uden dokumentation kan virksomheden ikke vise Energistyrelsen, at § 32, stk. 2, er opfyldt. Og uden en kontraktlig pligt til at deltage i tilsyn står virksomheden alene med spørgsmål, kun leverandøren kan svare på.
Det skal I lade være med
- At læse bekendtgørelsen som en revisionsret · den kræver dokumentation, ikke adgang til audit.
- At glemme fjernadgangene · proceduren skal stå i aftalen og kan kontrolleres.
- At gøre audit til et krav, vejledningen ikke stiller · den nævner det som en mulighed for nogle.
Det skal auditten kunne vise
- ☐ Leverandøraftalen med de otte punkter i § 30.
- ☐ Proceduren for fjernadgang og en aktuel liste over adgange.
- ☐ Leverandørens dokumentation for overholdelse efter § 32, stk. 2.
- ☐ Aftalen om leverandørens deltagelse i Energistyrelsens tilsyn.
- ☐ Adgang til logs ved aftalens ophør, hvor det er relevant.
Kilder
- Bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, §§ 29 til 32, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1 af 6. juli 2026, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres leverandøraftale ved siden af de otte punkter i § 30, og markér dem, der mangler.
Læs også: OT-leverandøren som virksomhed · Leverandøren er selv omfattet af NIS 2
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
