NIS2 › NIS2 Levenrandører

NIS2 leverandørstyring: den komplette guide til forsyningsselskaber

Sådan vurderer vand-, spildevands-, fjernvarme- og energiselskaber deres leverandører, skriver kontrakter der holder efter NIS2, og når 24-timersfristen, når hændelsen starter hos en leverandør.

Et vandrensningsanlæg og et fjernvarmeværk forbundet til fem leverandører: en server, en cloudtjeneste, en netværksgateway, et kontrolpanel og en servicevogn, hvor forbindelsen via gatewayen går gennem et kontrolpunkt

I maj 2023 brød angribere ind hos 22 selskaber, der driver dele af den danske energiinfrastruktur. De behøvede ikke at phishe nogen. Ifølge SektorCERTs rapport om angrebet udnyttede de sårbarheder i firewalls fra en ekstern leverandør, og flere af selskaberne måtte koble sig af internettet og gå i ø-drift. I december 2024 mistede et lille vandværk ved Køge kontrollen med sine pumper, og 450 husstande stod kortvarigt uden vand. Forsvarets Efterretningstjeneste har siden tilskrevet angrebet en prorussisk gruppe.

De to sager peger i samme retning. I et forsyningsselskab ligger en stor del af cyberrisikoen hos leverandørerne, fx SCADA-integratoren, it-driftsleverandøren, firewall- og VPN-leverandøren og entreprenøren, der vedligeholder pumpestationer via fjernadgang. NIS2 gør styringen af den risiko til et lovkrav. Den 24. september 2026 hævede Styrelsen for Samfundssikkerhed trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj og fremhævede angreb, der manipulerer operationel teknologi (OT).

Guiden er skrevet til compliance-, it- og informationssikkerhedsansvarlige i danske forsyningsselskaber. Den forklarer, hvad loven kræver, hvilket af de to danske regelsæt der gælder for jer, en arbejdsgang i otte trin til NIS2 leverandørstyring, de kontraktklausuler der gør 24-timersfristen realistisk, og den dokumentation tilsynet forventer at se. Er NIS2 nyt for dig, så start med vores overblik over NIS2 eller vores NIS2-vejledning.

Det korte svar: hvad kræver NIS2 af jeres leverandørstyring?

NIS2 kræver, at I sikrer jeres forhold til direkte leverandører og tjenesteudbydere (artikel 21, stk. 2, litra d, i NIS2-direktivet). I skal tage højde for den enkelte leverandørs særlige sårbarheder og kvaliteten af dens sikkerhedspraksis (artikel 21, stk. 3), og ledelsen skal godkende og føre tilsyn med foranstaltningerne (artikel 20).

Leverandørerne er ikke omfattet af jeres forpligtelser. I binder dem gennem kontrakter, due diligence og opfølgning.
Ansvaret for at indberette er jeres. Starter hændelsen hos en leverandør, er det stadig jer, der skal sende den tidlige varsling inden for 24 timer.
Forsyningssektoren har to regelsæt. Drikkevand og spildevand følger NIS2-loven med Miljøstyrelsen som tilsyn. El, gas og fjernvarme følger energisektorens regler i bekendtgørelse nr. 260 (BEK 260) med Energistyrelsen som tilsyn.
Energireglerne er mest konkrete. BEK 260 §§ 29-32 beskriver, hvad leverandøraftaler skal indeholde, herunder underretning om hændelser og hjælp til jeres egen indberetning.

Hvorfor leverandørerne er det svage led i forsyningen

Forsyningsselskaber er afhængige af få specialiserede leverandører, som andre brancher sjældent bruger. Et fjernvarmeværk eller et vandværk har ofte én integrator på sit styringssystem, og integratoren skal typisk have fjernadgang for at kunne gøre sit arbejde. Tre forhold gør det risikabelt.

Fjernadgang til OT. VPN-gateways, firewalls og værktøjer til fjernsupport vender ud mod internettet. Angrebet på energisektoren i 2023 gik netop gennem den slags udstyr.
Afhængighed af én leverandør. Mindre forsyninger og andelsselskaber har nogle gange én leverandør, der har designet, installeret og vedligeholder hele styringen. Bliver den leverandør kompromitteret eller lukker, er der ingen nem plan B.
Lang levetid på udstyr. PLC'er og SCADA-komponenter kører i årtier og kan ofte ikke få sikkerhedsopdateringer, når producenten stopper supporten.

ENISAs Threat Landscape 2025 beskriver hacktivistgrupper, der tager æren for angreb på OT-grænseflader på internettet i energi- og vandsektoren, og peger på kompromitterede leverandører som en tilbagevendende indgang. ENISA bemærker også, at de hacktivistiske OT-angreb, de har set på, ikke gav betydelige driftsforstyrrelser. Risikoen er reel, men grundlæggende leverandørstyring fjerner meget af den.

Et forsyningsselskab med vandtårn og varmeværk i midten, forbundet til en SCADA-skærm, en serverstak, en cloud, en router og en tekniker med værktøjskasse, hvor routerforbindelsen er tykkest for at vise fjernadgang

Hvad NIS2 siger om leverandører, artikel for artikel

Bestemmelse	Hvad den kræver	Hvad det betyder for leverandørstyringen
Artikel 20	Ledelsen godkender og fører tilsyn med foranstaltningerne, kan holdes ansvarlig og skal deltage i uddannelse	Ledelsen godkender leverandørpolitikken og får rapportering om kritiske leverandører
Artikel 21, stk. 2, litra d	Forsyningskædesikkerhed, herunder sikkerhedsaspekter i forholdet til direkte leverandører og tjenesteudbydere	I skal have en politik, et leverandørregister og sikkerhedskrav i kontrakterne
Artikel 21, stk. 3	Tag højde for den enkelte leverandørs sårbarheder, kvaliteten af produkter og sikkerhedspraksis, herunder sikker udvikling	Vurderingen skal tilpasses leverandøren, ikke være ét fælles spørgeskema
Artikel 22	Koordinerede risikovurderinger af kritiske ikt-forsyningskæder på EU-niveau	Inddrag resultaterne, når de dækker produkter, I køber
Artikel 23	Tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer, endelig rapport inden for en måned	Leverandøren skal give jer oplysninger hurtigt nok til at overholde fristerne
Artikel 34	Bødeloft på mindst 10 mio. euro eller 2 % af den globale omsætning for væsentlige enheder og 7 mio. euro eller 1,4 % for vigtige enheder	Svage kontrakter og manglende opfølgning kan føre til sanktioner

Gennemførelsesforordning 2024/2690: det bedste pejlemærke

Kommissionens gennemførelsesforordning (EU) 2024/2690 fastsætter detaljerede tekniske krav, men den gælder kun for bestemte digitale udbydere som cloud, datacentre og administrerede (sikkerheds)tjenester. Den gælder ikke direkte for forsyningsselskaber. Alligevel er den EU's mest konkrete beskrivelse af forsyningskædesikkerhed i praksis, og mange af jeres it-leverandører er omfattet af den. Dem kan I bede om den dokumentation, de allerede laver.

Bilaget indeholder fire elementer, I kan låne. En politik for forsyningskædesikkerhed. Kriterier for valg af leverandører, herunder deres sikkerhedspraksis og muligheden for at undgå at blive låst fast. Krav til kontrakter, herunder at leverandøren skal underrette jer om hændelser uden unødig forsinkelse. Og et opdateret register over direkte leverandører. ENISAs tekniske implementeringsvejledning fra juni 2025 giver eksempler på dokumentation og anbefaler at gennemgå både politik og register mindst én gang om året.

To regelsæt i Danmark: hvilket gælder for jeres forsyning?

Danmark har ikke gennemført NIS2 for forsyningssektoren i én lov. NIS2-loven (lov nr. 434 af 2025, i kraft siden 1. juli 2025) dækker de fleste sektorer, herunder drikkevand og spildevand. Loven gælder ikke for enheder, der er omfattet af lov om styrket beredskab i energisektoren. Den gennemfører NIS2 for el, gas, fjernvarme og brint gennem bekendtgørelse nr. 260 af 6. marts 2025.

Emne	Drikkevand og spildevand	El, gas og fjernvarme
Retsgrundlag	NIS2-loven (lov nr. 434/2025)	Lov om styrket beredskab i energisektoren og BEK 260
I kraft	1. juli 2025	Marts 2025
Tilsyn	Miljøstyrelsen	Energistyrelsen
Hvem er omfattet	Enheder, der opfylder størrelseskrav og sektorkriterier, herunder ca. de 100 største vandforsyninger	Selskaber, som Energistyrelsen placerer på de relevante niveauer. For fjernvarme niveau 2 til 4
Leverandørregler	En generel pligt til forsyningskædesikkerhed plus Miljøstyrelsens vejledning fra april 2026	Detaljerede regler i BEK 260 §§ 29-32 om procedurer, kontraktindhold, fjernadgang og dokumentation
Indberetning af hændelser	Via virk.dk, som sender til tilsynsmyndigheden og den nationale CSIRT	Til Energistyrelsen og CSIRT via den anviste indberetningsløsning

Vand- og spildevandsanlæg til venstre og et fjernvarmeværk med elmaster til højre, begge koblet til ét fælles leverandørregister i midten

Vand og spildevand: NIS2-loven og Miljøstyrelsen

Ifølge Miljøministeriet dækker cyberreglerne cirka de 100 største vandforsyninger i Danmark, som leverer omkring 65 % af drikkevandet. De skulle registrere sig hos Miljøstyrelsen via virk.dk senest 1. oktober 2025. Spildevandsselskaber er omfattet, når de opfylder størrelseskrav og sektorkriterier.

Miljøstyrelsens vejledning til vandsektoren om foranstaltninger (vejledning nr. 87, april 2026) er den mest praktiske officielle tekst om leverandører for vandforsyninger. Den anbefaler IEC 62443-serien til OT og beder forsyningerne prioritere leverandører, der er kritiske i en krise, udgør et single point of failure eller har adgang til kritiske aktiver. Vejledningen ser også revisorerklæringer som et nyttigt værktøj og henviser til leverandørspørgeskemaerne på Sikkerdigital.dk.

El, gas og fjernvarme: BEK 260 og Energistyrelsen

BEK 260 går længere end direktivet, når det gælder leverandører. Bekendtgørelsen kræver:

Procedurer for styring af leverandører, der kan påvirke forsyningssikkerheden eller netværkssikkerheden (§ 29).
Bestemt kontraktindhold (§ 30), herunder sikkerhedskrav, leverandørens pligt til at underrette jer om væsentlige hændelser, hjælp til jeres egen indberetning, kriterier for brug af underleverandører og jeres fortsatte ejerskab til data.
Procedurer for leverandørers fjernadgang til forsyningskritiske systemer, skrevet ind i leverandøraftalen (§ 31).
Dokumentation, så leverandørerne kan vise, at de lever op til kravene (§ 32).

Om et fjernvarmeselskab er omfattet, afhænger af det niveau, Energistyrelsen placerer det på ud fra den leverede varmemængde. Selskaber på niveau 2 til 4 er omfattet af NIS2-kravene, mens selskaber på niveau 1 har lettere beredskabskrav. Tjek jeres egen niveauafgørelse frem for generelle tærskler.

Multiforsyninger og mindre vandværker

Mange danske forsyningskoncerner driver vand, spildevand og fjernvarme side om side. Hver aktivitet følger sit eget regelsæt, men den samme it-leverandør eller SCADA-integrator kan betjene dem alle. Hold ét leverandørregister, og mærk hver leverandør med de aktiviteter og regelsæt, den berører. Så kan én vurdering bruges over for begge tilsyn.

Mindre vandværker og andelsselskaber under NIS2-tærsklerne slipper heller ikke. Miljøstyrelsen sendte i september 2026 et udkast til beredskabsbekendtgørelse for vand- og spildevandsforsyninger i høring med forventet ikrafttræden 1. januar 2027. Angrebet ved Køge ramte netop sådan et lille vandværk.

NIS2 leverandørstyring i otte trin

Arbejdsgangen nedenfor fungerer under begge regelsæt. Energiselskaber bør bruge BEK 260 som minimum. Vandforsyninger kan bruge gennemførelsesforordning 2024/2690 og Miljøstyrelsens vejledning som pejlemærke.

Otte trin i en cyklus omkring en forsyningsbygning: afgrænsning, leverandørregister, kritikalitet, due diligence, kontrakt, opfølgning, hændelsesalarm og afslutning

Trin 1: Afgræns og placér ansvaret

Afklar, hvilket regelsæt der gælder for hver aktivitet, og skriv en kort politik for leverandørsikkerhed. Få ledelsen til at godkende den som en del af de risikostyringsforanstaltninger, den har ansvaret for, og udpeg en ejer af leverandørrisikoen. I mindre forsyninger er det ofte it-chefen i samarbejde med driftschefen.

Trin 2: Opbyg leverandørregistret

Registrér alle direkte leverandører og tjenesteudbydere, der berører jeres netværks- og informationssystemer, også OT. Notér for hver leverandør:

Hvilke ydelser den leverer, og hvilke aktiver og processer de understøtter
Om den har fjernadgang eller fysisk adgang, og hvordan
Hvilke data den kan se, herunder personoplysninger
Dens vigtigste underleverandører
Kontrakt, SLA, kontaktpersoner og den dokumentation, I har

Kobl registret til jeres aktivliste, så I kan se, hvilke kritiske aktiver der afhænger af hvilke leverandører.

Trin 3: Vurdér leverandørernes kritikalitet

For de fleste forsyninger er tre niveauer nok. Det vigtige er, at vurderingen ændrer, hvad I faktisk gør.

Niveau	Typiske leverandører i en forsyning	Due diligence	Gennemgang
Høj	SCADA- og PLC-integratorer med fjernadgang, it-drift og sikkerhedsleverandører, firewall- og VPN-leverandører, hosting af styrings- eller afregningssystemer, telemetri og kommunikation	Spørgeskema, gennemgang af dokumentation (ISO 27001, ISAE 3402 eller SOC 2, IEC 62443), kontraktgennemgang og gennemgang af fjernadgang	Mindst årligt og efter hændelser
Mellem	Forretningssystemer uden adgang til OT, serviceteknikere med fysisk adgang under opsyn	Kort spørgeskema og tjek af certifikater	Hvert eller hvert andet år
Lav	Leverandører uden adgang til systemer eller data	Grundlæggende tjek ved opstart	Ved fornyelse

Følg Miljøstyrelsens råd, og giv ekstra vægt til leverandører, der er et single point of failure, eller som I har brug for under en krise.

Trin 4: Lav due diligence i passende omfang

Send kritiske leverandører et struktureret spørgeskema, og bed om dokumentation. Sikkerdigital.dk's materiale om at stille sikkerhedskrav til it-leverandøren er et godt dansk udgangspunkt, og SIG- eller CAIQ-spørgeskemaer fungerer godt til cloudtjenester. Spørg OT-leverandører om IEC 62443-2-4 (sikkerhedsprogram for serviceleverandører) eller IEC 62443-4-1 (sikker produktudvikling), deres politik for opdateringer og udfasning og, hvis muligt, en softwarestykliste (SBOM).

Send ikke et skema med 300 spørgsmål til en leverandør, der ikke har adgang til noget. Store kravkataloger skaber arbejde, som ingen læser. Selve metoden til leverandørtilsyn finder du i vores guide til tilsyn med leverandører.

Trin 5: Skriv de rigtige klausuler ind i kontrakten

Her har de fleste forsyninger huller. Tjeklisten samler det obligatoriske indhold i BEK 260 og kontraktkravene i gennemførelsesforordning 2024/2690.

☐ Sikkerhedskrav, der passer til ydelsen, med henvisning til ISO 27001 eller IEC 62443
☐ Underretning om hændelser uden unødig forsinkelse, med en fast maksimal frist for kritiske leverandører
☐ Pligt til at hjælpe jer med at overholde fristerne på 24 timer, 72 timer og en måned, herunder logs, kompromitteringsindikatorer og årsag
☐ Underretning om sårbarheder og aftalte frister for opdateringer
☐ Regler for fjernadgang med personlige konti, MFA, godkendte og tidsbegrænsede sessioner og logning
☐ Kriterier for brug af underleverandører og pligt til at viderebringe kravene
☐ Ret til revision og til at modtage revisorerklæringer
☐ Jeres ejerskab til data og tilbagelevering eller sletning ved ophør
☐ Deltagelse i øvelser samt krav til kontinuitet og reparationstider
☐ En databehandleraftale efter GDPR artikel 28, når der indgår personoplysninger

Loven fastsætter ikke, hvor hurtigt en leverandør skal give besked. Vi anbefaler højst 4 til 12 timer fra leverandøren bliver opmærksom på hændelsen, for leverandører med høj kritikalitet. Så har I det meste af jeres 24 timer til at vurdere og indberette. Følg klausulerne i jeres kontraktstyring, så de ikke forsvinder stille ved næste fornyelse.

Trin 6: Følg op og revurdér

Gennemgå leverandører med høj kritikalitet mindst én gang om året, som ENISA anbefaler. Lav en ekstra gennemgang, når en leverandør har en hændelse, skifter ejer eller ikke overholder sin SLA, eller når en advarsel nævner et produkt, I bruger. Følg fundene, til de er lukket. En risikomatrix holder vurderingerne ensartede på tværs af medarbejdere.

Trin 7: Kobl leverandørerne på jeres hændelseshåndtering

For hver kritisk leverandør skal jeres beredskabsplan beskrive, hvem hos leverandøren der ringer til hvem, hvordan I noterer tidspunktet, hvor I blev opmærksomme, hvem der skriver den tidlige varsling, og hvordan leverandørens fund indgår i hændelsesunderretningen efter 72 timer og den endelige rapport. Test den én gang om året med mindst én leverandør med.

Trin 8: Afslut samarbejdet sikkert

Når en kontrakt ophører, så luk fjernadgang og adgangskoder, få jeres data tilbage eller slettet, opdatér registret og aktivlisten, og gem dokumentation for afslutningen. ENISA nævner netop den slags som dokumentation, tilsynet kan bede om.

OT og fjernadgang: den leverandørrisiko, der betyder mest

BEK 260 § 31 regulerer leverandørers fjernadgang direkte, og Miljøstyrelsen henviser vandforsyningerne til IEC 62443. I praksis er kontrollerne de samme i begge sektorer.

Ingen faste forbindelser. Leverandøren kobler på efter aftale, og en medarbejder i forsyningen godkender hver session.
Personlige konti med MFA. Med fælles leverandørlogin kan ingen se, hvem der gjorde hvad.
Tidsbegrænsning og logning. Sessioner lukker automatisk, og logs gemmes et sted, leverandøren ikke kan ændre.
Opdaterede firewalls og VPN-gateways. De får sikkerhedsopdateringer efter en fast plan, for det var den vej, angriberne kom ind i 2023.
En plan for udstyr uden support. Kan en komponent ikke længere opdateres, så segmentér den, og dokumentér de kompenserende kontroller.

Efter angrebet ved Køge fortalte formanden for vandværket til TV 2 Kosmopol, at det værste var, at de ikke selv kunne ændre indstillingerne tilbage. Ret til gendannelse, dokumentation og klausuler om ophør betyder lige så meget som de forebyggende kontroller.

Når hændelsen starter hos leverandøren: sådan når I de 24 timer

Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning er klar om outsourcing. Driver eller vedligeholder en leverandør jeres systemer, er det stadig jeres opgave at underrette myndighederne. I kan aftale, at leverandøren indberetter på jeres vegne, men ansvaret for, at underretningen kommer rettidigt, ligger altid hos jer. Fristen løber fra det tidspunkt, I bliver opmærksomme på en væsentlig hændelse, så en langsom leverandør spiser af jeres tid.

Frister for indberetning efter NIS2

Trin	NIS2-loven (vand og spildevand)	BEK 260 (energi og fjernvarme)	GDPR (personoplysninger)	Anbefalet frist for leverandøren
Første besked	Tidlig varsling inden for 24 timer efter I er blevet opmærksomme	Inden for 24 timer	Anmeldelse til Datatilsynet inden for 72 timer (artikel 33)	Uden unødig forsinkelse, højst 4 til 12 timer
Opdatering	Hændelsesunderretning inden for 72 timer med en første vurdering og kompromitteringsindikatorer	Inden for 72 timer	Ikke relevant	Logs, indikatorer og første årsagsvurdering før jeres 72-timersfrist
Undervejs	Midlertidig rapport, hvis CSIRT beder om det	Statusrapport, hvis hændelsen stadig står på	Ikke relevant	Opdateringer efter behov
Afslutning	Endelig rapport senest en måned efter hændelsesunderretningen	Endelig rapport inden for en måned	Ikke relevant	Årsagsrapport i god tid før jeres endelige rapport
Kanal	virk.dk, som sender videre til Miljøstyrelsen og CSIRT	Energistyrelsen og CSIRT via den anviste løsning	Datatilsynet, som kan vælges til på formularen på virk.dk	Jeres navngivne kontaktpersoner

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for jer, eller betydelig skade for andre. Vejledningen forventer, at I selv fastsætter tærskler, fx for nedetid, i jeres risikovurdering. Del tærsklerne med de kritiske leverandører, så de ved, hvad de skal eskalere. Metoden finder du i vores guide til informationssikkerhedsrisikostyring.

Eksempel: en leverandørhændelse i en multiforsyning

Søby Forsyning A/S og Pumpeteknik Nord ApS er fiktive. Vi har opfundet dem til denne artikel.

Søby Forsyning leverer drikkevand til 40.000 mennesker og driver et fjernvarmeværk på niveau 2. Pumpeteknik Nord vedligeholder styringen af begge dele gennem én gateway til fjernadgang. Søby fornyede kontrakten i 2026 og fik en klausul om underretning inden for fire timer skrevet ind.

Tidspunkt	Hvad sker der	Betydning for fristerne
Fredag kl. 17.10	Pumpeteknik Nords overvågning opdager login fra en ukendt IP-adresse på gatewayen	Leverandøren er opmærksom. Kontraktens frist på fire timer begynder
Fredag kl. 19.30	Pumpeteknik Nord ringer til Søby Forsynings vagthavende og deler logs	Søby noterer tidspunktet. Søbys 24-timersfrist begynder
Fredag kl. 22.00	Søby isolerer gatewayen. Pumpeindstillingerne på ét vandværk er ændret. Varmeværket er ikke berørt	Vurderet som væsentlig for vand. Varme registreres som ikke væsentlig
Lørdag kl. 14.00	Tidlig varsling sendt via virk.dk	Inden for 24 timer (frist lørdag kl. 19.30)
Mandag kl. 18.00	Hændelsesunderretning med kompromitteringsindikatorer fra Pumpeteknik Nord	Inden for 72 timer (frist mandag kl. 19.30)
Inden for en måned	Endelig rapport med årsag, baseret på leverandørens undersøgelse	Overholder fristen på en måned

To ting fik det til at lykkes. Klausulen om fire timer gav Søby oplysningerne, mens det meste af døgnet stadig var tilbage. Og fordi den fælles gateway stod i leverandørregistret, vidste Søby, at varmeværket også skulle tjekkes. Var varmeværket blevet ramt, skulle Søby også have indberettet til Energistyrelsen efter BEK 260. Den gamle kontrakt krævede kun besked inden for fem arbejdsdage, og så havde fristen været umulig at nå.

Tidslinje for en leverandørhændelse: et signal fra leverandørens gateway når forsyningens kontrolrum, efterfulgt af tre indberetningsmilepæle og en endelig rapport

Den dokumentation, tilsynet vil se

Efter NIS2-loven kan tilsynet kræve at få jeres politikker udleveret sammen med de oplysninger, det skal bruge for at vurdere jeres foranstaltninger. Miljøstyrelsen og Energistyrelsen leder efter dokumentation, ikke hensigter. Hav denne dokumentation for informationssikkerhed klar.

Dokument	Hvad det viser
Leverandørpolitik godkendt af ledelsen	Ledelsen har godkendt og fører tilsyn med forsyningskædesikkerheden
Leverandørregister med kritikalitet	I kender jeres leverandører, og hvad de har adgang til
Risikovurderinger af kritiske leverandører	Den enkelte leverandørs sårbarheder er vurderet
Due diligence og revisorerklæringer	I har tjekket før og under samarbejdet
Kontrakter og SLA med de krævede klausuler	Kravene er bindende for leverandøren
Procedurer og logs for fjernadgang	Adgangen til kritiske systemer er under kontrol
Gennemgange og opfølgningshandlinger	Opfølgningen er løbende, og fund bliver lukket
Leverandørrelaterede hændelser og indberetninger	Hændelseshåndtering og rapportering virker i praksis
Dokumentation for afsluttede samarbejder	Adgang og data blev håndteret ved ophør
Rapportering til ledelsen og uddannelse	Ledelsen er informeret og uddannet

Energiselskaber bør gemme niveauafgørelse, risiko- og sårbarhedsanalyse og beredskabsplaner sammen med disse dokumenter.

ISO 27001 og revisorerklæringer som dokumentation for leverandører

Arbejder I allerede med ISO 27001:2022, dækker standardens leverandørkontroller en stor del af artikel 21, stk. 2, litra d. Hullerne handler mest om frister og danske særregler. Den fulde sammenligning krav for krav finder du i NIS2 vs ISO 27001.

ISO 27001:2022 Annex A	Emne	Hvad NIS2 tilføjer for forsyninger
5.19	Informationssikkerhed i leverandørforhold	Ledelsens godkendelse og en beskrevet rolle i forsyningskæden
5.20	Sikkerhed i leverandøraftaler	Leverandørens hjælp med indberetning efter 24 timer, 72 timer og en måned. Klausul om dataejerskab efter BEK 260
5.21	Ikt-forsyningskæden	Leverandørspecifikke sårbarheder, sikker udvikling og IEC 62443 for OT-produkter
5.22	Overvågning og gennemgang af leverandørydelser	Ekstra gennemgang efter hændelser og advarsler
5.23	Cloudtjenester	Cloududbydere under 2024/2690 bør dele deres dokumentation
5.24 til 5.26	Hændelseshåndtering	En ekstern frist på 24 timer, som ISO 27001 ikke fastsætter
8.8	Tekniske sårbarheder	Leverandørens frister for opdateringer og OT uden support

Revisorerklæringer er god dokumentation, men de erstatter ikke jeres egen vurdering. Før I accepterer en ISAE 3402-erklæring, en ISAE 3000-erklæring eller en SOC 2-rapport, så tjek at:

Den dækker de ydelser og lokationer, I faktisk bruger
Det er en type 2-erklæring, og perioden er ny
I ved, hvilke komplementære kontroller I selv skal udføre
Ingen af revisorens bemærkninger påvirker jer

Mange OT-leverandører har ingen af delene. Så må et IEC 62443-certifikat, et målrettet spørgeskema eller et besøg hos leverandøren gøre arbejdet.

Overlappet med GDPR: én vurdering, to frister

Mange kritiske it-leverandører, fx til afregning, kundeportal og hosting, behandler også personoplysninger for jer. Vurdér dem én gang op mod både NIS2 og GDPR artikel 28, og hold databehandleraftalen i samme kontraktpakke. Rammer en hændelse personoplysninger, løber GDPR's frist på 72 timer for anmeldelse til Datatilsynet sideløbende med NIS2-fristerne, og formularen på virk.dk lader jer sende til Datatilsynet i samme indberetning. Du kan læse forordningens tekst på GDPR.dk og om GDPR-siden i vores guide til tilsyn med databehandlere.

Sådan vælger du NIS2 compliance- og risikostyringssoftware til leverandørstyring

Et regneark kan bære et lille vandværk med ti leverandører et stykke tid. Det knækker, når leverandører skal kobles til aktiver, risici, kontrakter og hændelser, og når tilsynet vil se historikken. Når I sammenligner NIS2 compliance-platforme, så se efter disse funktioner.

Funktion	Hvorfor det betyder noget for en forsyning
Leverandørregister koblet til aktiver og processer	I kan se, hvilke kritiske systemer der afhænger af hvilken leverandør
Vurdering af kritikalitet og spørgeskemaer	Due diligence følger risikoen i stedet for ét skema til alle
Opbevaring af dokumentation med udløbsdatoer	I ved, hvornår et ISO-certifikat eller en ISAE-erklæring udløber
Opfølgning på kontraktforpligtelser og fornyelser	Klausuler om underretning og fjernadgang overlever genforhandlingen
Risikovurdering med handlingsplaner	Leverandørrisici står i samme register som jeres øvrige risici
Dokumentation af hændelser	I kan vise, hvad der skete, hvornår I vidste det, og hvornår I indberettede
Frameworks til både NIS2 og ISO 27001	Det samme arbejde dækker flere krav
Rapportering til ledelsen	Ledelsen kan føre tilsyn med forsyningskæden, som artikel 20 kræver

Software gør jer ikke compliant i sig selv. Det gør arbejdet gentageligt og dokumentationen nem at finde. Bedst er det, når leverandørrisikoen også indgår i jeres samlede virksomhedsrisikostyring (enterprise risk management), så ledelsen ser ét billede frem for separate lister.

Sådan understøtter .legal NIS2 leverandørstyring

.legal er en dansk GRC-platform, som mere end 400 organisationer bruger. Vendor management-modulet samler leverandørregister, vurderinger og dokumentation. Modulet til informationssikkerhed dækker aktiver, kontroller og NIS2- og ISO 27001-kravene via vores frameworks. Risikovurdering holder leverandørrisici side om side med jeres øvrige risici, og kontraktstyring følger de klausuler, I har aftalt. Fordi modulerne deler data, kan én leverandørvurdering bruges til NIS2, ISO 27001 og GDPR på samme tid.

Vil du se, hvordan det fungerer i en forsyning? Book en demo.

Har du fortsat spørgsmål?

Spørg Johannes direkte, han giver de fleste af vores demoer personligt. Book ham her.

Relateret læsning om NIS2 og leverandører

Ofte stillede spørgsmål om NIS2 leverandørstyring

Er leverandører direkte omfattet af NIS2?

Ikke gennem jeres forpligtelser. En leverandør kan være omfattet i egen ret, hvis den hører til en NIS2-sektor, fx som udbyder af administrerede tjenester. Ellers når kravene kun leverandøren gennem jeres kontrakt, due diligence og opfølgning. Svigter leverandøren, er det jer, der står til ansvar over for tilsynet.

Læs mere om tilsyn med leverandører

Hvor hurtigt skal en leverandør give besked om en hændelse?

Loven giver ikke leverandører en fast frist. BEK 260 kræver, at energiselskabers kontrakter pålægger leverandøren at underrette om væsentlige hændelser, og gennemførelsesforordning 2024/2690 bruger udtrykket uden unødig forsinkelse. Da jeres egen tidlige varsling skal sendes 24 timer efter, I er blevet opmærksomme, bør kontrakten have en fast maksimal frist. For kritiske leverandører er 4 til 12 timer et fornuftigt spænd.

Gælder gennemførelsesforordning 2024/2690 for forsyningsselskaber?

Nej. Den gælder for digitale udbydere som cloud, datacentre og administrerede (sikkerheds)tjenester. Forsyninger kan bruge den som pejlemærke for deres egen forsyningskædesikkerhed, og leverandører i de kategorier skal leve op til den, hvilket gør det lettere at bede dem om dokumentation.

Er vores fjernvarmeselskab omfattet af NIS2?

Det afhænger af det niveau, Energistyrelsen har placeret jer på ud fra den leverede varmemængde. Niveau 2 til 4 er omfattet af NIS2-kravene gennem energisektorens regler i BEK 260, ikke den generelle NIS2-lov. Selskaber på niveau 1 har lettere beredskabskrav.

Hvem fører tilsyn med NIS2 for vand- og spildevandsforsyninger?

Miljøstyrelsen er kompetent myndighed for drikkevand og spildevand. Registrering og indberetning af hændelser sker via virk.dk, som sender videre til Miljøstyrelsen og den nationale CSIRT. Styrelsen for Samfundssikkerhed koordinerer NIS2 på tværs af sektorer og udgiver den generelle vejledning.

Læs NIS2-vejledningen

Kan en ISAE 3402-erklæring eller SOC 2-rapport erstatte vores egen leverandørvurdering?

Nej, men den kan bære en stor del af dokumentationen. Tjek at erklæringen dækker de ydelser, I køber, er en ny type 2-erklæring, beskriver de komplementære kontroller I selv skal udføre, og ikke har bemærkninger, der påvirker jer. Risici, der hænger sammen med jeres egen brug af leverandøren, skal I stadig selv vurdere.

Læs mere om ISAE 3402

Hvor ofte skal kritiske leverandører revurderes?

Mindst én gang om året, hvilket svarer til ENISAs anbefaling for gennemgang af leverandørregister og politik. Revurdér tidligere, hvis en leverandør har en hændelse, skifter ejer, ikke overholder sin SLA, eller hvis en advarsel nævner et af dens produkter.

Er det nok at melde en hændelse til SektorCERT?

Nej. SektorCERT er et medlemsbaseret sektor-CERT for energi, vand og andre kritiske sektorer. Det kan advare og hjælpe jer, men det er ikke den lovpligtige modtager. Den lovpligtige underretning går til jeres kompetente myndighed og CSIRT via virk.dk eller energisektorens anviste kanal.

Hvad er straffen for at overtræde den danske NIS2-lov?

Overtrædelser straffes med bøde, som domstolene fastsætter efter strafferetlige regler, ikke med administrative bøder. Direktivet kræver et bødeloft på mindst 10 mio. euro eller 2 % af den globale omsætning for væsentlige enheder og 7 mio. euro eller 1,4 % for vigtige enheder. I visse tilfælde giver loven også mulighed for midlertidigt at forbyde personer i ledelsen at udøve ledelsesfunktioner.

Skal små vandværker følge NIS2?

De fleste små vandværker og andelsselskaber ligger under NIS2-tærsklerne. Til gengæld er en særskilt beredskabsordning på vej. Miljøstyrelsen sendte i september 2026 et udkast til beredskabsbekendtgørelse i høring med forventet ikrafttræden 1. januar 2027. Kontrol med leverandørers fjernadgang giver mening uanset størrelse.

Har du fortsat spørgsmål?

Spørg Johannes direkte, han giver de fleste af vores demoer personligt

Book ham her

.legal compliance platform

Leverandører, kontrakter og hændelser samlet ét sted

Opbyg leverandørregistret én gang og kobl det til jeres aktiver, risici og kontrakter. .legal holder styr på due diligence, dokumentation og underretningsklausuler, så I kan vise Miljøstyrelsen eller Energistyrelsen, hvad I har gjort og hvornår.