Er jeres driftsleverandør, cloududbyder eller datacenter selv omfattet af NIS 2, har den egne pligter efter en detaljeret EU-forordning. Det giver jer noget konkret at spørge efter. Det fritager jer ikke for jeres egen leverandørstyring, fordi leverandørens pligter gælder over for dens egen myndighed og ikke over for jer.
Hvilke leverandører det drejer sig om
Blandt dem, Kommissionens gennemførelsesforordning 2024/2690 omfatter, er udbydere af administrerede tjenester og administrerede sikkerhedstjenester samt cloud- og datacenterudbydere (artikel 1). Efter Digitaliseringsstyrelsens FAQ er hele CVR-nummeret omfattet, også når tjenesten kun er en mindre biaktivitet i virksomheden.
I trusselsvurderingen om it-serviceudbydere fra 2020 pegede Center for Cybersikkerhed på den adgang, udbyderne har hos deres kunder, som grunden til, at angribere går efter dem. Vurderingen kan læses som baggrund for, hvorfor kontrollen med netop disse leverandører fylder.
Det, leverandøren selv skal have
Forordningens bilag giver leverandøren en række pligter, som kunden kan spørge til. Tre af dem er særligt nyttige i en leverandøraudit.
Egen forsyningskæde. Leverandøren skal have en politik for forsyningskædesikkerhed, kriterier for udvælgelse af egne leverandører, kontrakter med sikkerhedskrav og et register over sine direkte leverandører (bilag, punkt 5.1 og 5.2). Spørg efter registret og efter de kontraktkrav, der gælder for den del af kæden, der rører jeres data.
Uafhængig gennemgang. Leverandøren skal få sin sikkerhedsstyring gennemgået uafhængigt af personer med passende auditkompetence, og resultatet rapporteres til ledelsesorganet (punkt 2.3). Bed om at se resultatet eller et resumé af det, og om de korrigerende handlinger, der fulgte.
Begrundede fravalg. Krav, der gælder “hvor det er relevant”, kan fravælges, hvis leverandøren på en forståelig måde dokumenterer sin begrundelse (artikel 2, stk. 2). Bed om listen over fravalg. Den viser, hvor leverandøren selv har vurderet, at et krav ikke passer.
Et forhold er værd at bemærke. Punkt 5.1.1 pålægger leverandøren at kommunikere sin rolle i forsyningskæden til sine egne direkte leverandører og tjenesteudbydere. Det er ikke en pligt over for kunderne. Vil I have den oplysning, må I bede om den.
Hvorfor leverandørens lovpligt ikke afløser jeres kontrol
Er I selv omfattet af NIS 2, beskriver Styrelsen for Samfundssikkerheds vejledning kapitel 4, at I skal have procedurer for at styre jeres direkte leverandører, så forsynings- og cybersikkerheden er sikret i forholdet til dem. Pligten er jeres. At leverandøren også har pligter, flytter ikke ansvaret. Det er vores tolkning af sammenhængen mellem de to regelsæt, men den følger af, at pligterne retter sig mod hver sin enhed.
Myndigheden siger samtidig i vejledningen om anvendelsesområdet, at en NIS 2-enhed ikke nødvendigvis skal kræve en certificering eller en revisionserklæring af sine leverandører. Leverandørens lovpligtige dokumentation kan derfor være et godt bevis i jeres leverandørstyring. Den skal bare vurderes, som I ville vurdere andet bevis: dækker den jeres ydelse, er den ny nok, og viser den, at kontrollerne virker?
NIS 2-loven kræver i øvrigt ingen ekstern audit af leverandører. Styrelsens vejledning nævner retten til revision eller til at modtage revisionsrapporter som noget, en aftale “kan” indeholde. Hvor meget I selv skal efterprøve, er derfor en risikobaseret vurdering, og leverandørens egen dokumentation kan trække vurderingen i retning af lettere kontrol, når den holder.
Er I ikke selv omfattet, kan I stadig bruge leverandørens pligter. Forordningens bilag er en målestok for, hvad en moden leverandør har styr på, og leverandøren har allerede dokumentationen.
Spørgsmålene til leverandøren
En kort liste, der kan sendes før auditten. Spørgsmålene er praksis afledt af forordningen.
- Er I omfattet af forordning 2024/2690, og under hvilken tjenestetype?
- Hvornår blev jeres sikkerhedsstyring senest gennemgået uafhængigt, og hvad fandt gennemgangen?
- Hvilke krav “hvor det er relevant” har I fravalgt, og med hvilken begrundelse?
- Hvilke direkte leverandører i jeres register understøtter vores ydelse?
- Hvilke sikkerhedskrav stiller jeres kontrakter til dem?
Svarene er et udgangspunkt. Auditten afgør derefter, hvad der skal ses med egne øjne, og hvad der kan bygges på leverandørens dokumentation. Hvordan en omfattet virksomhed auditerer sig selv, er beskrevet under kundens egen NIS2-audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I ved, om leverandøren er omfattet, og at I spørger efter dokumentationen i stedet for at gå ud fra, at den findes. Det kræver også, at nogen hos jer læser den. Læsningen går hurtigere end en egen audit. Notér, hvad I har læst, og hvad jeres vurdering bygger på, så I kan vise det, når en myndighed eller jeres ledelse spørger.
Overses leverandørens pligter, går I glip af bevis, der allerede eksisterer. Behandles de som en garanti, mister I overblikket over, om jeres egen ydelse er dækket.
Det skal I lade være med
- At sætte flueben ved leverandøren, fordi den er omfattet · jeres pligt til leverandørstyring står ved magt.
- At forvente, at leverandøren af sig selv oplyser sin rolle i kæden · punkt 5.1.1 retter sig mod leverandørens egne leverandører.
- At overse listen over fravalg · den viser, hvor kravene er sat ud af kraft.
Det skal auditten kunne vise
- ☐ Om leverandøren er omfattet, og under hvilken tjenestetype.
- ☐ Resultatet af leverandørens seneste uafhængige gennemgang og de handlinger, der fulgte.
- ☐ Leverandørens begrundede fravalg af krav.
- ☐ De direkte leverandører, der understøtter jeres ydelse, og kravene til dem.
- ☐ Jeres egen vurdering af, hvad leverandørens dokumentation dækker.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og 2 og bilag punkt 2.3, 5.1 og 5.2, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, juni 2025, kap. 4, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, vejledning om anvendelsesområdet, maj 2025, kap. 8, læst 12. november 2026.
- Center for Cybersikkerhed, Cybertruslen mod it-serviceudbydere, november 2020, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg leverandøren, om den er omfattet af forordning 2024/2690, og bed om resultatet af dens seneste uafhængige gennemgang.
Læs også: Kan erklæringen erstatte jeres egen audit? · Underleverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
