Er I omfattet af NIS2-loven, er et europæisk alternativ en ny leverandør i jeres forsyningskæde, og den skal igennem samme vurdering som enhver anden kritisk leverandør, før I vælger. Skiftet kan mindske én afhængighed og skabe en anden, og begge dele skal kunne ses i jeres leverandørstyring og godkendes af ledelsen.
Søger I på NIS2 og leverandører eller NIS2 og Microsoft, handler det ofte om, hvorvidt loven kræver, at I skifter. Det gør den ikke. NIS2-loven nævner hverken bestemte leverandører eller lande. Den kræver, at I styrer risikoen i forsyningskæden, og et skifte er en ændring af den risiko. Reglerne er gengivet i korte træk, og artiklen er ikke juridisk rådgivning.
Det, loven siger
§ 6, stk. 1, i NIS2-loven, nr. 434 fra 2025, kræver passende og forholdsmæssige foranstaltninger, som minimum på en række områder. Et af dem, nr. 4, handler om sikkerheden i forsyningskæden, altså hvordan I sikrer forholdet til de leverandører og tjenesteudbydere, I køber direkte hos. Nr. 3 er driftskontinuitet med backup og reetablering. § 7 lægger godkendelsen hos ledelsesorganet, der også skal følge op på, at foranstaltningerne gennemføres.
Loven siger ikke, hvordan en ny leverandør skal vurderes. Det gør Styrelsen for Samfundssikkerheds vejledning fra juni 2025 i et vist omfang. Vejledningen er ikke et lovkrav.
Det, vejledningen peger på ved valg af leverandør
Vejledningen lægger blandt kriterierne for valg af leverandør vægt på, om virksomheden har mulighed for at bruge en anden leverandør og holde afhængigheden nede. Leverandørens økonomi og de geopolitiske risici står også på listen. Om kontrakter siger den, at de kan have afsnit om leverandørens forpligtelser ved ophør, fx at udlevere og bortskaffe data. Som eksempel spørger den, om man kan nå at udskifte en kritisk leverandør, der går konkurs, bliver købt eller rammes af et sikkerhedsbrud.
Det er vores læsning, at de kriterier skærer begge veje. Et europæisk alternativ kan mindske den geopolitiske risiko, I har i dag. Det kan samtidig være en mindre leverandør med en anden økonomisk robusthed, og så skal den også vurderes på evnen til at blive erstattet.
Hvad valget ændrer i leverandørstyringen
Et nyt review før beslutningen. Den nye leverandør skal vurderes efter jeres egne kriterier for sikkerhed, før I vælger. Hvordan ledelsen sætter rammen for sådan en vurdering, er beskrevet i sikkerhedsreview før beslutningen. Tag målestokken med: ejer, kontraktpart, hosting, drift og support, kode, og datoen for hvert svar.
Underleverandørerne følger med. Et alternativ, der drives på en anden udbyders cloud, bringer den udbyder ind i jeres forsyningskæde. Det kan betyde, at en amerikansk udbyder forsvinder fra listen ét sted og dukker op et andet. Underleverandørlisten afslører det, og fremgangsmåden står i europæisk ejer, amerikansk drift.
Kontrakten ved ophør. Den nye aftale bør have bestemmelser om udlevering og sletning af data ved ophør, ligesom vejledningen nævner. Det er lettere at få med, før I har skrevet under.
Driftskontinuitet. Et nyt system skal ind i jeres planer for backup og reetablering. Hvis den gamle leverandør tog backup som en del af tjenesten, skal I afklare, om den nye gør det samme, og hvordan I afprøver gendannelse.
Ledelsens godkendelse. Skiftet er en ændring af foranstaltningerne, og det skal ledelsen kunne se og godkende. Forelæg vurderingen af den nye leverandør sammen med beslutningen om valget, så de to ikke skilles ad.
Skiftet i sig selv er en risikoperiode
Under overgangen har I to systemer, data på vej mellem dem og brugere med adgang begge steder. Det er en periode, hvor adgange skal holdes styr på, og hvor den gamle leverandørs adgang skal lukkes rettidigt, når I er færdige. Planlæg det som en del af leverandørstyringen.
En model fra de digitale tjenester
En gennemførelsesforordning fra EU, 2024/2690, gælder kun for udbydere af bl.a. cloud, datacentre og administrerede tjenester. For dem nævner den evnen til at diversificere forsyningskilder og begrænse leverandørfastlåsning blandt kriterierne for leverandører. Almindelige virksomheder er ikke omfattet. Formuleringen kan bruges som model i jeres egne kriterier, hvis det står klart, at det er en model.
Hvad det kræver, og hvad det koster at lade være
Et skifte under NIS2 kræver tid til review af den nye leverandør og dens underleverandører, til at opdatere leverandøroversigten og planerne for driftskontinuitet, og til at forelægge ledelsen. Regn det i timer med lav og høj vurdering, og læg det oven i selve overgangen.
Lader I være med at tage leverandørstyringen med, bliver skiftet en ændring, ledelsen ikke har godkendt, og en ny leverandør, der ikke er vurderet. Ved et tilsyn er det svært at forklare, hvorfor en beslutning om at mindske afhængighed ikke er dokumenteret.
Det skal I lade være med
- At skrive, at NIS2 kræver et skifte · loven kræver risikostyring og nævner ingen leverandører.
- At springe reviewet over, fordi leverandøren er europæisk · den skal vurderes på samme kriterier.
- At glemme den gamle leverandørs adgange · de skal lukkes, når overgangen er færdig.
Det skal valget kunne vise
- ☐ Et review af den nye leverandør efter jeres egne kriterier.
- ☐ Underleverandører og hosting for alternativet, med dato.
- ☐ Bestemmelser om udlevering og sletning af data ved ophør.
- ☐ Opdaterede planer for backup og reetablering.
- ☐ Ledelsens godkendelse af skiftet og vurderingen.
Kilder
- NIS2-loven, lov nr. 434 af 6/5 2025: §§ 6 og 7.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnittet om forsyningskæden.
- Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 5.1.2.
Senest gennemgået: november 2026.
Næste skridt
Find den vurdering, I lavede af jeres nuværende leverandør, og brug samme skema til alternativet. Forskellene er det, ledelsen skal se.
Læs også: Europæisk ejer, amerikansk drift · Den lille europæiske leverandør
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
