Kunder omfattet af NIS2: hvad betyder det for jeres produkt?

En kunde, der er omfattet af NIS2, skal styre sine cybersikkerhedsrisici, også dem der kommer fra leverandører. For et softwarehus betyder det ikke nødvendigvis, at loven gælder jer direkte, men at kunden begynder at stille skarpere spørgsmål til produktet, og at nogle af dem havner i kontrakten.

Svaret på, hvad det betyder for jer, hviler derfor på kundens krav og ikke på direktivets tekst. Find ud af, hvad kunden konkret beder om, svar for produktet og jeres udvikling, og brug en penetrationstest der, hvor den faktisk kan dokumentere noget. Loven og leverandørkæden i dybden er et emne for sig.

Loven gælder kunden, kravet når jer gennem aftalen

NIS2 retter sig mod virksomheder og myndigheder i bestemte sektorer og af en vis størrelse. Hvis jeres kunde er omfattet, er det kunden, der har pligterne. Kunden skal blandt andet have foranstaltninger for sikkerheden i sin forsyningskæde og i forholdet til direkte leverandører og tjenesteudbydere.

For jer viser det sig som spørgsmål i et spørgeskema, et sikkerhedsbilag til kontrakten eller en ny leverandørpolitik. Det er ikke jer, der skal vurdere, om kunden er omfattet, og I bør ikke selv tolke, hvad loven kræver af kunden. Spørg i stedet, hvad kunden konkret har brug for fra jer. Teksten er ikke juridisk rådgivning.

Kravene kan også komme fra kunder, der ikke selv er omfattet, men som leverer til en virksomhed, der er. Så kommer kravet til jer i anden eller tredje led, og formuleringen kan være blevet bredere for hvert led. Også her er det kundens konkrete ønske, I skal svare på. → Kravet står i kundens leverandørpolitik

Hvad direktivet beder kunden se på

Direktivets artikel 21 opregner en række områder, kundens foranstaltninger skal omfatte. Ud over forsyningskæden nævnes blandt andet sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, herunder håndtering af sårbarheder, og politikker og procedurer for at vurdere, om foranstaltningerne virker.

Artikel 21, stk. 3, beskriver, at kunden ved vurderingen af sine leverandører skal tage hensyn til den enkelte leverandørs sårbarheder og til kvaliteten af leverandørens produkter og cybersikkerhedspraksis, herunder procedurer for sikker udvikling. Det er formuleringer, som kan forklare, hvorfor en kunde begynder at spørge til jeres udviklingsproces og jeres test. Læs selv ordlyden i den officielle tekst, før I henviser til den over for kunden.

Hvordan det viser sig i kundens spørgsmål

Spørgsmålene kan ligne dem, I kender fra andre kunder, men de er mere detaljerede og mere formelle. Emnerne kan være:

Test af produktet · om det er testet, af hvem, hvornår og med hvilket omfang.
Sårbarheder · hvordan I håndterer fund og sårbarheder i komponenter, I bruger.
Sikker udvikling · hvordan sikkerhed indgår i jeres udviklingsproces.
Hændelser · hvordan og hvor hurtigt I orienterer kunden, hvis noget sker.
Jeres egne leverandører · hosting og andre underleverandører, produktet hviler på.

Kunden kan også bede om at få dokumentationen opdateret løbende eller om ret til at kontrollere jer. Notér, hvilke af spørgsmålene en test kan besvare, og hvilke der kræver andre dokumenter. → Kunden kræver revisionsret

Det, en penetrationstest kan bidrage med

En test af produktet kan give kunden et dokumenteret billede af, hvordan den testede version holdt under en afgrænset undersøgelse, og hvordan I har håndteret fundene. Det passer direkte på spørgsmålet om test og kan understøtte svarene om sårbarheder og sikker udvikling, fordi det viser, at I lader en uafhængig part efterprøve produktet.

En plan for, hvornår produktet testes igen, og hvordan nye funktioner vurderes, styrker svaret. Kunden skal vurdere jer over tid, og en enkelt rapport siger kun noget om et bestemt tidspunkt. Hvis I kan vise en fast rytme og en praksis for at følge op på fund, får kunden et bedre grundlag end med rapporten alene.

Rapporten bør være skrevet, så kunden kan se omfang, testperiode og version uden at lede. Gør omfanget let at finde, for det er ud fra omfanget, kunden kan vurdere, hvad rapporten dækker. → Omfangsafsnittet i rapporten

Det, en test ikke dækker

En pentest svarer ikke på alt, kunden spørger om. Den dokumenterer ikke jeres procedure for hændelser, jeres aftaler med underleverandører eller jeres organisering af sikkerheden. Den viser heller ikke, at kunden opfylder sine egne pligter efter loven.

Sig det tydeligt, når I sender rapporten. Det er bedre, at kunden forstår, hvad testen er bevis for, end at den bliver brugt som svar på spørgsmål, den ikke handler om. Brug andre dokumenter til de øvrige spørgsmål, og vær ærlig, hvor I endnu ikke har noget at vise. → Kunden spørger til hosting og underleverandører

Svar, der holder sig til produktet

Hold jeres svar til det, I selv har ansvar for: produktet, jeres udvikling og de leverandører, produktet hviler på. Hvor kunden spørger til forhold hos kunden selv, for eksempel hvordan kunden opsætter adgangen for sine egne brugere, kan I beskrive de muligheder, produktet giver, men ikke svare på kundens vegne. Undgå at skrive, at produktet gør kunden NIS2-compliant, eller at jeres test opfylder kundens lovkrav. Det kan I ikke vide, og det er ikke jeres vurdering.

Hvis flere NIS2-omfattede kunder stiller lignende spørgsmål, er det en god anledning til at samle svarene ét sted og holde dem opdateret. Den tekniske afprøvning i NIS2-sammenhæng og leverandørkæden i dybden er beskrevet på nis2-pentest.dk. → Et svarbibliotek til skemaerne

Det skal I lade være med

At love NIS2-compliance · Kunden har pligterne, og kunden vurderer, om de er opfyldt.
At tolke loven på kundens vegne · Spørg, hvad kunden konkret skal bruge fra jer.
At bruge rapporten som svar på alt · Hændelser og underleverandører kræver anden dokumentation.
At citere direktivet uden at læse det · Henvis kun til den ordlyd, I har kontrolleret.
At acceptere krav, I ikke kan opfylde · Krav om underretning og frister følger med ind i kontrakten.

Hvad kan og ikke kan konkluderes

En penetrationstest af produktet kan dokumentere over for en NIS2-omfattet kunde, at produktet er efterprøvet, og hvordan fundene er håndteret. Den kan indgå i kundens vurdering af jer som leverandør.

Den kan ikke afgøre, om kunden overholder loven, og den dækker ikke de dele af kundens spørgsmål, der handler om organisation, hændelser og underleverandører.

Tjekliste, når en NIS2-kunde spørger

☐ Har I kundens konkrete krav til jer på skrift?
☐ Er det klart, hvilke spørgsmål testen skal besvare?
☐ Står omfang, testperiode og version tydeligt i rapporten?
☐ Har I anden dokumentation for hændelser og underleverandører?
☐ Undgår jeres svar løfter om kundens compliance?
☐ Er henvisninger til direktivet kontrolleret mod den officielle tekst?

Kilder

NIS2-direktivet (EU) 2022/2555, artikel 21, stk. 2 og 3: foranstaltninger til styring af cybersikkerhedsrisici, herunder forsyningskædesikkerhed og hensynet til direkte leverandørers produkter og udviklingspraksis.

Senest gennemgået: oktober 2026.