Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
I er måske slet ikke omfattet af NIS 2-loven. Alligevel ligger der et spørgeskema på 40 punkter fra jeres største kunde — og en kontraktfornyelse, der venter på svaret. Her er, hvad loven faktisk kræver, hvad kunden lovligt kan bede om, og hvordan I samler dokumentationen på ti arbejdsdage.
Fire spørgsmål afgør, hvor meget arbejde der venter. Svarer I ja til det første, er I selv omfattet — så er spørgeskemaet den mindste af opgaverne.
NIS 2-loven trådte i kraft i Danmark den 1. juli 2025. Siden er hundredvis af danske virksomheder begyndt at sende sikkerhedsspørgeskemaer ud til deres leverandører — ikke fordi de er nørklede, men fordi loven pålægger dem at gennemgå netop det led. Hvis I leverer software, hosting, service, transport, rengoering eller råvarer til en virksomhed i en kritisk sektor, kommer spørgeskemaet før eller siden. Det gode er, at kravene er langt mere konkrete og langt mindre uendelige, end de første sider af skemaet giver indtryk af.
I er omfattet, hvis I hører til en sektor i lovens bilag 1 eller 2 og har mindst 50 ansatte eller over 10 mio. euro i både omsætning og balance. Under den grænse er I som udgangspunkt ikke omfattet — men jeres kunder er, og de skal vurdere jer som leverandør.
Grundlaget er lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, i daglig tale NIS 2-loven. Lovens § 33, stk. 1 er kort: "Loven træder i kraft den 1. juli 2025." Der er altså ingen overgangsperiode tilbage at vente på. Enheder, der var omfattet fra start, skulle registrere sig på virk.dk senest den 1. oktober 2025; nye enheder har efter § 10 to uger, og udbydere af blandt andet DNS-, cloud- og datacentertjenester har efter § 9 tre måneder.
Loven skelner mellem to niveauer. Forskellen betyder mest for tilsynet — kravene til sikkerhed i § 6 er de samme:
| Niveau | Størrelseskrav | Sektorer | Tilsyn |
|---|---|---|---|
| Væsentlig enhed (§ 4) | 250 personer eller derover — eller årlig omsætning over 50 mio. euro og balance over 43 mio. euro | Bilag 1 (særligt kritiske) | Proaktivt tilsyn |
| Vigtig enhed (§ 5) | 50 personer eller derover — eller årlig omsætning over 10 mio. euro og balance over 10 mio. euro | Bilag 1 og bilag 2 | Reaktivt tilsyn |
| Under grænsen | Færre end 50 ansatte og under beløbsgrænserne | Som udgangspunkt uden for loven | Ingen direkte tilsyn |
Størrelsen opgøres efter Kommissionens henstilling 2003/361/EF om definitionen af mikro-, små og mellemstore virksomheder. Det er her, mange regner forkert: tallene er ikke nødvendigvis kun jeres egne. Styrelsen for Samfundssikkerhed skriver, at en virksomhed er partner, når den "ejer mellem 25 % og 50 % af kapitalen eller stemmerettighederne", og tilknyttet, når den "ejer mere end 50 %". Størrelsen beregnes derefter ved "en proportional konsolidering af oplysninger (arbejdsstyrke, omsætning og årlig balance)": en partnervirksomheds tal tæller med efter ejerandel, mens der skal lægges 100 % af en tilknyttet virksomheds tal til. Et selskab med 30 ansatte i en koncern på 200 kan altså sagtens være omfattet.
Omvendt gælder også det modsatte: "Hvis en enhed i vid udstrækning opererer uafhængigt af sine partner- eller tilknyttede virksomheder, kan den godt blive anset for at være under størrelsetærsklen for mellemstore virksomheder." Og den anden vej: nogle enheder er omfattet uanset størrelse på grund af særlig samfundsbetydning — fx den eneste udbyder af en væsentlig tjeneste i landet.
Vil I have det afklaret, har Digitaliseringsstyrelsen bygget værktøjet NIS 2-tjek på nis2tjek.sikkerdigital.dk. Læg mærke til, hvor værktøjet stopper: det siger selv, at det "ikke dækker afklaring om, hvorvidt virksomheder er leverandør til NIS 2 omfattede virksomheder". Netop det spørgsmål er resten af denne side.
Bilag 1 rummer ikke kun energi, transport, sundhed og drikkevand. Punkt 9 hedder ordret "Forvaltning af IKT-tjenester (business-to-business): Udbydere af administrerede tjenester, Udbydere af administrerede sikkerhedstjenester". Et it-hus, en MSP eller en driftsleverandør med 50 ansatte eller mere er altså selv en vigtig enhed — ikke bare en leverandør, der skal svare på andres skema. Det gælder også sikkerhedsleverandører, der driver kunders firewall eller overvågning.
Og ansvaret for at finde ud af det ligger hos jer selv. Styrelsen for Samfundssikkerhed skriver i sin vejledning om anvendelsesområdet: "Enheder omfattet af NIS 2-loven har selv ansvaret for at vurdere, om de er omfattet af lovgivningen." Der kommer ikke et brev. Der kommer et tilsyn.
NIS 2-loven § 6, stk. 1, nr. 4 kræver, at omfattede virksomheder håndterer forsyningskædesikkerhed, herunder forholdet til deres direkte leverandører. Kunden opfylder kravet ved at vurdere jer og skrive sikkerhedsvilkår ind i kontrakten. Kravet følger altså aftalen, ikke loven.
§ 6, stk. 1 lister ti minimumsforanstaltninger, som enhver væsentlig og vigtig enhed skal træffe. Nummer fire lyder ordret: "Forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere."
Styrelsen for Samfundssikkerhed, som er den centrale myndighed på området, er lige så direkte i sin spørgsmål-og-svar: NIS 2-enheder "skal foretage en vurdering af sikkerhedsrelaterede aspekter i forholdet mellem dem selv og deres leverandører eller tjenesteudbydere", og derfor kan der "blive stillet krav til leverandører eller tjenesteudbydere, der leverer ydelser til virksomheder, som er omfattet af NIS 2". Det er hele mekanismen på to linjer.
Konsekvensen er værd at holde fast i, når spørgeskemaet virker urimeligt: ingen myndighed kan give jer en bøde for at svare dårligt. Men jeres kunde kan miste kontrakten med sin egen tilsynsmyndighed — og derfor kan kunden vraget jer. Sanktionen er kommerciel, ikke strafferetlig. Det gør den ikke mildere.
Styrelsen for Samfundssikkerheds vejledning fra juni 2025 opstiller seks vurderingskriterier og syv typiske kontraktelementer. Kravene skal være proportionale med leverancens betydning — en leverandør af kontorartikler kan ikke mødes med samme krav som en driftsleverandør.
Her adskiller virkeligheden sig fra rygtet. Der findes ingen officiel dansk NIS 2-spørgeskemaskabelon, og loven nævner ikke ISO 27001 med et ord. Til gengæld udgav Styrelsen for Samfundssikkerhed i juni 2025 "Vejledning til NIS 2-loven — implementering af cybersikkerhedsforanstaltninger" (1. udgave), og den er i praksis kilden til, hvad danske kunder spørger om. Vejledningen skriver om leverandørstyring:
"Enheden skal implementere procedurer for leverandørstyring, der sikrer både forsyningssikkerhed og cybersikkerhed i samarbejdet med direkte leverandører."
Og på den følgende side står der, hvad procedurerne skal kunne: "Procedurerne skal gøre enheden i stand til at identificere og vurdere risici ved specifikke leverandører og indgå aftaler, der sikrer overholdelse af enhedens krav til forsynings- og cybersikkerhed." De seks kriterier, kunden skal vurdere jer på, er:
Bemærk de to sidste. De handler ikke om teknik. Kunden skal også vurdere, om I er til at skifte ud, og om I overlever de næste fem år. Det er der ingen firewall, der løser — men en ryddelig årsrapport og en dokumenteret exitplan gør.
Vejledningen skriver på s. 29: "For at undgå unødigt høje krav bør enheden anvende en risikobaseret tilgang, hvor kravene til den enkelte leverandør eller tjenesteudbyder er proportional med den specifikke leverances betydning for enhedens forsynings- og cybersikkerhed."
Det er sætningen, I skal kende udenad. Får I et 60-punkters skema, fordi I leverer et modul, der ikke rører kundens produktionsdata, er det legitimt at svare: "Vi besvarer punkt 1–18, som er relevante for leverancen. Punkt 19–60 vedrører systemadgang, vi ikke har — her henviser vi til afgrænsningen i bilag A." Et velbegrundet nej er et bedre svar end et uunderbygget ja.
Vejledningen nævner syv kontraktelementer: sikkerhedskrav og standarder, underretning ved væsentlige hændelser, revisionsret og revisionsrapporter, serviceniveauaftaler, sårbarhedshåndtering, klausuler om underleverandører og håndtering af data ved kontraktophør.
Kontrakten er der, det for alvor koster penge, hvis I underskriver uden at læse. Nedenfor er de syv elementer og den fejl, vi oftest ser på danske virksomheders side af bordet.
| Kontraktelement | Hvad kunden vil have | Den typiske faldgrube |
|---|---|---|
| Sikkerhedskrav og standarder | At I og det leverede følger relevante sikkerheds- og lovkrav, fortrolighedsklausuler og standarder | En henvisning til "branchestandard" uden navn. Skriv den standard, I faktisk følger. |
| Underretning om hændelser | Besked til kunden ved væsentlige hændelser | Ingen frist aftalt. Så gælder kundens egen 24-timers frist reelt for jer. |
| Revisionsret | Ret til revision og adgang til revisionsrapporter | Ubegrænset audit på kundens vilkår. Aftal antal, varsel og betaling. |
| Serviceniveauaftaler | Målbare SLA’er for oppetid og svartid | SLA lovet uden måling. Uden logning kan I ikke bevise, at I holdt den. |
| Sårbarhedshåndtering | Forpligtelse til at håndtere sårbarheder | Ingen aftalt reaktionstid for kritiske CVE’er. Skriv fx 72 timer for kritiske. |
| Underleverandører | Klausuler om jeres egne underleverandører | I lover noget for en hostingudbyder, I ikke har aftalt det med. |
| Data ved ophør | Aftalt håndtering og sletning af data ved kontraktophør | Ingen aftalt udtræksformat. Det bliver dyrt den dag, kunden går. |
Den sjætte række er den, der overrasker flest. Hvis I driver kundens løsning hos en tredjepart, arver I ikke automatisk jeres egen leverandørs vilkår. Har I hosting i et dansk datacenter, er det værd at få skrevet varslingsfrister og revisionsret ind opad i kæden, før I lover dem nedad. Vi har samlet det praktiske i vores guide til sikker hosting.
Spørgeskemaet følger næsten altid de ti minimumsforanstaltninger i NIS 2-lovens § 6, stk. 1. Kan I fremvise ét dokument eller én skærmoptagelse for hver af de ti, er I igennem — uanset hvor mange delspørgsmål skemaet har.
Det er her, arbejdet bliver overskueligt. De 40 til 80 spørgsmål i skemaet er næsten altid varianter over de samme ti punkter. Nedenfor er lovens liste og det, I i praksis skal kunne lægge på bordet.
| § 6, stk. 1 | Foranstaltning | Det I skal kunne fremvise |
|---|---|---|
| nr. 1 | Politikker for risikoanalyse og informationssystemsikkerhed | En risikovurdering på 2–4 sider med dato og ejer |
| nr. 2 | Håndtering af hændelser | Beredskabsplan med kontaktliste og eskaleringstrin |
| nr. 3 | Driftskontinuitet, herunder backupstyring og reetablering efter katastrofe | Backupplan, opbevaringstid og dato for seneste gendannelsestest |
| nr. 4 | Forsyningskædesikkerhed over for direkte leverandører | Liste over jeres egne kritiske leverandører og deres vilkår |
| nr. 5 | Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer | Patchpolitik og procedure for ændringer i produktion |
| nr. 6 | Politikker til vurdering af foranstaltningernes effektivitet | Referat fra seneste sikkerhedsgennemgang |
| nr. 7 | Grundlæggende cyberhygiejne og cybersikkerhedsuddannelse | Deltagerliste fra sidste awareness-træning |
| nr. 8 | Politikker om kryptografi og kryptering | Hvad krypteres i hvile og i transit — og hvordan |
| nr. 9 | Personalesikkerhed, adgangskontrol og aktivforvaltning | Onboarding- og offboardingtjekliste samt aktivliste |
| nr. 10 | Multifaktorautentificering, sikret kommunikation og nødkommunikation | Skærmbillede af håndhævet MFA og en nødkontaktvej uden for jeres eget netværk |
Sammenhold listen med, hvordan det faktisk står til i danske småvirksomheder. Danmarks Statistik undersøgte i foråret 2024 virksomheder med 5–9 ansatte og offentliggjorde resultatet den 16. august 2024: over 90 procent har mindst én sikkerhedsforanstaltning, 82 procent opdaterer software systematisk og 80 procent tager backup af data. Men kun 47 procent har mindst to godkendelsesmekanismer — altså noget, der ligner multifaktor — og kun 45 procent har dokumentation om it-sikkerhed. Det tal var 47 procent i 2022 og er altså faldet.
Pointen springer i øjnene: de fleste gør det rigtige. Under halvdelen kan bevise det. Og et sikkerhedsspørgeskema er en bevisøvelse, ikke en teknikøvelse. Har I styr på backup og endpoint-beskyttelse, men aldrig skrevet det ned, er I i den dårligste af alle situationer: I betaler for sikkerheden og får ikke kontrakten.
Kunden skal efter § 13 sende tidlig varsling senest 24 timer efter kendskab til en væsentlig hændelse, en hændelsesunderretning inden for 72 timer og en endelig rapport senest én måned efter. Derfor kræver kontrakten typisk, at I varsler kunden hurtigere end det.
Underretningsforløbet i loven har tre trin, og de forklarer hele presset i kontraktforhandlingen:
Kunden kan kun holde de 24 timer, hvis I opdager og melder hurtigt. Derfor ser vi typisk kontraktkrav om varsling til kunden inden for 12 til 24 timer — nogle gange få. Det er et forhandlingspunkt, ikke en lovbestemt frist for jer: loven forpligter kunden, kontrakten forpligter jer. Sørg for, at fristen først løber, fra I har konstateret hændelsen, ikke fra den indtraf, og at I har én navngiven kontaktvej hos kunden. En vagttelefon, der kun findes i en mailsignatur, er ikke en beredskabsplan.
Samle seks dokumenter én gang, og de dækker de fleste spørgeskemaer fremover: risikovurdering, backup- og gendannelsesplan, beredskabsplan, adgangs- og MFA-oversigt, leverandørliste og en kort sikkerhedserklæring. Regn med to til tre arbejdsdage, hvis driften allerede er på plads.
Det største spørgeskema, vi har hjulpet en kunde igennem, havde 74 punkter. Svarene kom fra seks dokumenter. Byg dem én gang, hold dem opdaterede med en dato på forsiden, og næste spørgeskema tager en eftermiddag i stedet for tre uger.
Er driften allerede på plads — overvåget it-sikkerhed, backup med testet gendannelse og styret adgang — er de ti dage snarere to til tre. Er den ikke, er spørgeskemaet en billig anledning til at få det bragt i orden, mens en kunde betaler for opmærksomheden.
Styrelsen for Samfundssikkerhed vurderer i november 2025 truslen fra både cyberkriminalitet og cyberspionage mod Danmark som MEGET HØJ. Netop derfor kigger kunden på sine leverandører: et angreb gennem en leverandør rammer mange ofre på én gang.
Spørgeskemaet er ikke bureaukrati for bureaukratiets skyld. Det aktuelle trusselsbillede står i "Cybertruslen mod Danmark 2025", offentliggjort af Styrelsen for Samfundssikkerhed i november 2025:
| Trusselstype | Niveau (november 2025) |
|---|---|
| Cyberkriminalitet | MEGET HØJ |
| Cyberspionage | MEGET HØJ |
| Cyberaktivisme | HØJ |
| Destruktive cyberangreb | MIDDEL |
| Cyberterror | INGEN |
Om netop leverandørleddet skriver vurderingen: "Supply chain-angreb mod sådanne leverandører risikerer derfor at få et meget stort antal kompromitterede ofre." Og om hvem der rammes: det er især små og mellemstore organisationer, fordi de "ikke altid har mulighed for at afsætte de samme ressourcer til cybersikkerhed som større organisationer".
Læg mærke til, at cyberterror står til INGEN. Vurderingen er ikke et alarmdokument — den er nøjagtig, og den skelner. Det er også derfor, den er brugbar i en kontraktforhandling: I kan henvise til myndighedens egen vurdering, når I argumenterer for, at kravene skal stå i forhold til, hvad I faktisk leverer.
NIS 2-lovens § 32 straffer overtrædelser med bøde, og juridiske personer kan pålægges strafansvar efter straffelovens 5. kapitel. Loven fastsætter ikke selv et beløbsloft — udmålingen sker ved domstolene. Og bøden kan kun ramme den omfattede enhed, ikke jer som ikke-omfattet leverandør.
Mange danske artikler om NIS2 åbner med "bøder på op til 10 mio. euro eller 2 procent af den globale omsætning". De tal stammer fra direktivteksten. I den danske lov står der noget mere nøgternt: § 32 fastslår, at overtrædelser straffes med bøde, og at der kan pålægges selskaber strafansvar efter straffelovens 5. kapitel. Der er ikke skrevet et kroneloft ind i loven.
For jer som leverandør er det alligevel den forkerte risiko at kigge på. Den reelle risiko har tre dele, og ingen af dem er strafferetlige:
Fornyelsen udskydes, mens indkøb venter på dokumentation. Vi ser typisk 4 til 12 ugers forsinkelse, næsten altid fordi ét bilag mangler.
Sikkerhedsdokumentation bliver et minimumskrav frem for et point-kriterium. Uden den kommer tilbuddet aldrig i vurdering.
Den anden vej rundt: en leverandør med mappen i orden vinder kontrakter, konkurrenten ikke når at svare på. Det er det billigste salgsarbejde, der findes.
Vi har set det gå begge veje. Den virksomhed, der har seks opdaterede dokumenter liggende, svarer på en formiddag og lægger sig foran. Den, der starter forfra hver gang, bruger tre uger og når ikke fristen.
Er I over 50 ansatte i en bilag 1- eller bilag 2-sektor, skal I ud over de ti foranstaltninger også registrere jer på virk.dk, underrette ved væsentlige hændelser og have ledelsens godkendelse. Ledelsen skal desuden selv deltage i kurser om styring af cybersikkerhedsrisici.
§ 7 er den bestemmelse, der oftest kommer bag på en direktør. Foranstaltningerne skal være godkendt af enhedens ledelsesorgan, ledelsesorganet fører tilsyn med gennemførelsen, og medlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte. Det kan altså ikke uddelegeres til it-afdelingen som en teknisk opgave.
Styrelsen for Samfundssikkerhed har udgivet fem vejledninger til loven: om anvendelsesområdet og om ledelsens rolle (maj 2025), om foranstaltninger og om hændelsesunderretning (juni 2025) og en særlig vejledning til kommuner (juli 2025). Styrelsen henviser desuden til værktøjet NIS2-tjek på sikkerdigital.dk, hvis I er i tvivl om, om I er omfattet. Er I det, er informationssikkerhed ikke længere en it-post på budgettet, men et ledelsesansvar med et navn på.
"Procedurerne skal gøre enheden i stand til at identificere og vurdere risici ved specifikke leverandører og indgå aftaler, der sikrer overholdelse af enhedens krav til forsynings- og cybersikkerhed."Styrelsen for Samfundssikkerhed, "Vejledning til NIS 2-loven — implementering af cybersikkerhedsforanstaltninger", 1. udgave juni 2025, s. 29
To sider som PDF: de seks dokumenter, der besvarer kundens sikkerhedsspørgeskema, de seks ting kunden skal vurdere jer på efter Styrelsen for Samfundssikkerheds vejledning, og en tjekliste at løbe igennem, før I svarer. Ingen salgsopkald.
Vi sender guiden med det samme. Du kan afmelde når som helst.
Vi læser skemaet igennem, markerer de punkter I allerede kan svare på med det, I har, og peger på de få, der kræver reelt arbejde. I får en prioriteret liste tilbage — ikke et tilbud på alt.
"Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration."
Westwind, Admind-kunde i over 10 årSom udgangspunkt nej. Loven kræver mindst 50 personer eller over 10 mio. euro i både årlig omsætning og balance, og at I hører til en sektor i bilag 1 eller 2. Der findes dog enheder, der er omfattet uanset størrelse på grund af særlig samfundsbetydning. Ansvaret for vurderingen ligger hos jer selv — Styrelsen for Samfundssikkerhed henviser til NIS2-tjek på sikkerdigital.dk, hvis I er i tvivl.
Kunden må kræve, hvad kunden vil aftale sig frem til — men NIS 2-loven kræver det ikke. Loven nævner ikke ISO 27001, og vejledningen lægger op til en risikobaseret og proportional tilgang. Er leverancen begrænset, er det legitimt at tilbyde dokumenteret praksis frem for en certificering, der koster mere end kontrakten er værd. Bed kunden begrunde kravet i leverancens betydning.
Sikkerhedskravene i § 6 er de samme. Forskellen ligger i størrelse, sektor og tilsyn: væsentlige enheder (250 personer eller derover, eller over 50 mio. euro i omsætning og 43 mio. euro i balance) er underlagt et proaktivt tilsyn, mens vigtige enheder (fra 50 personer eller over 10 mio. euro i omsætning og balance) først tilses, når der er anledning til det.
Ikke direkte via loven. § 6, stk. 1, nr. 4 handler om forholdet mellem enheden og dens direkte leverandører. Men kunden vil typisk kræve en klausul om underleverandører i jeres kontrakt, og så skal I selv føre kravet videre. Sørg for, at I ikke lover kunden mere, end I selv har aftalt opad i kæden — det er den hyppigste fejl i leverandørkontrakter.
Det afhænger af jeres kontrakt, ikke af loven. Kunden skal selv sende tidlig varsling senest 24 timer efter kendskab til en væsentlig hændelse, hændelsesunderretning inden for 72 timer og endelig rapport senest en måned efter. Derfor lander kravet til leverandøren typisk på 12 til 24 timer. Aftal, at fristen løber fra jeres konstatering, og aftal en navngiven kontaktvej begge veje.
Det er et godt udgangspunkt, men det dækker ikke. GDPR handler om personoplysninger; NIS 2 handler om driftskontinuitet og systemsikkerhed. En databehandleraftale siger typisk intet om gendannelsestest, patchfrister, MFA-håndhævelse eller nødkommunikation. Genbrug gerne bilagene — men regn med at skulle supplere med backup-, beredskabs- og adgangsdokumentation.
Har I allerede overvåget drift, testet backup og styret adgang, er opgaven skrivearbejde: typisk to til tre arbejdsdage for de seks dokumenter. Mangler grundlaget, er det de underliggende tiltag, der koster — ikke skemaet. Vi kigger gerne skemaet igennem først og siger, hvad der reelt mangler, så I ikke køber mere end nødvendigt. Ring på +45 63 13 14 13.
Den 1. juli 2025, jf. § 33, stk. 1 i lov nr. 434 af 6. maj 2025. Omfattede enheder skulle registrere sig på virk.dk senest den 1. oktober 2025. Begge frister er passeret, så reglerne gælder nu — der er ikke en overgangsordning at vente på.
Send det til os. I får en prioriteret liste over, hvad I allerede kan svare på, og hvad der reelt mangler — inden for én arbejdsdag.