De fleste softwarehuse hører først om NIS2, når en kunde sender et krav. Det betyder ikke i sig selv, at I er omfattet. Der er forskel på at være underleverandør til en virksomhed, der er omfattet, og selv at falde ind under loven. Den første situation handler om aftaler og kundekrav. Den anden giver jer egne pligter og et tilsyn. For en SaaS-virksomhed er svaret ikke altid enkelt, for det afhænger af, hvad I leverer, og af jeres størrelse. Her er afklaringen i korte træk, og hvor I kan læse videre.
To forskellige situationer
I er underleverandør. En kunde er omfattet af NIS2 og skal styre sine leverandører. Kravene kommer til jer gennem aftalen og spørgeskemaer. Loven gælder ikke direkte for jer, men I skal leve op til det, I har skrevet under på. Det er den situation, de fleste softwarehuse står i. Se kundens spørgeskema om produktet.
I er selv omfattet. Jeres virksomhed falder ind under lovens sektorer og størrelseskrav. Så gælder pligterne jer direkte, og ledelsen får et selvstændigt ansvar. Hvad det indebærer for ledelsen, står i ledelsesorganets ansvar efter NIS2.
De to situationer kan gælde på samme tid. En virksomhed kan være omfattet og samtidig få krav fra sine kunder.
Hvad afgør det for en SaaS-virksomhed?
NIS2-loven fra maj 2025 (lov nr. 434) har gældt siden 1. juli 2025. Digitaliseringsstyrelsen er tilsyn for den digitale sektor. Omfattet er bl.a. udbydere af cloudcomputingtjenester og administrerede tjenester, med størrelsesgrænser ud fra ansatte og økonomi.
Spørgsmålene er altså to:
Er det, I leverer, en af de omfattede tjenester? En SaaS kan være en cloudcomputingtjeneste. Digitaliseringsstyrelsens side nævner ikke SaaS direkte, og svaret afhænger af definitionen i lovens § 3. Vi skriver derfor “kan være” og hverken ja eller nej. Læs definitionen, og sammenhold den med jeres produkt: leverer I en skalerbar tjeneste, som kunderne selv tager i brug over internettet, eller et system, der er bygget og tilpasset til få kunder? Driver I også kunders systemer, kan I i stedet komme i nærheden af administrerede tjenester.
Er I store nok? Størrelsesgrænserne står i loven og på Digitaliseringsstyrelsens side. Se på dem sammen med jeres revisor, og tæl virksomheder i samme koncern med. Selskabsstrukturen kan betyde noget her. Vokser I, kan I krydse grænsen på et tidspunkt, så kig på det igen ved hvert regnskab.
Sådan afklarer I det
Afklaringen er ikke stor, og den kan gøres på få timer:
- Beskriv kort, hvad I leverer, til hvem, og hvordan det tages i brug.
- Tag selvtesten på Sikker Digitals NIS2-tjek. Den er et godt første filter.
- Læs Digitaliseringsstyrelsens side om, hvem der er omfattet.
- Læs definitionerne i § 3, og sammenhold dem med jeres beskrivelse.
- Skriv konklusionen og begrundelsen ned, med dato. Også et nej skal kunne begrundes, når en kunde eller bestyrelsen spørger.
Er der tvivl, så få en advokat til at se på det, eller spørg Digitaliseringsstyrelsen. Konklusionen bør tages op igen, når produktet ændrer sig, eller virksomheden vokser.
Forskellen på NIS2 og Cyber Resilience Act
To regelsæt bliver ofte blandet sammen. Cyber Resilience Act, CRA, handler om produktet: om det, I leverer til kunden, er et produkt med digitale elementer. NIS2 handler om virksomhedens egne systemer og tjenester. Svaret på det ene siger intet om det andet, så en softwarevirksomhed skal besvare dem hver for sig. CRA er behandlet i CRA for softwareproducenter og i er vores webapp omfattet?. Datoerne står samlet i regler for softwarevirksomheder.
Hvad det betyder for den tekniske leder
Uanset udfaldet er meget af arbejdet det samme. Sikker udvikling, styring af adgange, backup, logning og et overblik over leverandører hører til et modent produkt, og kunderne spørger til det alligevel. Det er derfor en god idé at bygge det ind i den almindelige plan, se sikker softwareudvikling i et lille team.
Grænsen går ved ledelsen. Sikkerhedsledelse, politikker og ledelsens ansvar hører hjemme hos den, der ejer sikkerheden, og ikke hos den, der ejer koden. Er I omfattet, er det en større opgave end den, en CTO kan klare ved siden af. Spørgsmålet om, hvem der skal bære det, er gennemgået i kræver NIS2 en CISO?.
Tænkt eksempel
Et SaaS-firma med en standardtjeneste til kundeservice får et krav fra en stor kunde med henvisning til NIS2. Direktøren går ud fra, at firmaet nu er omfattet. Afklaringen viser, at firmaet ligger under størrelsesgrænserne, og konklusionen skrives ned med dato. Firmaet er altså underleverandør, og kravet håndteres som et kundekrav. Da firmaet vokser, står det i bestyrelsens årshjul, at vurderingen skal gentages.
Det skal I lade være med
- At tro, at et kundekrav betyder, at I er omfattet · det er to forskellige ting.
- At afvise spørgsmålet, fordi Digitaliseringsstyrelsen ikke nævner SaaS · definitionen afgør det.
- At nøjes med et mundtligt nej · begrundelsen skal kunne findes igen.
Det skal I kræve af den eksterne
- ☐ En kort, skriftlig afklaring med dato og begrundelse.
- ☐ Tydelig deling af, hvad der er produkt, og hvad der er sikkerhedsledelse.
- ☐ Besked om, hvornår en advokat eller revisor skal ind over.
- ☐ En aftalt anledning til at gentage vurderingen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3 om definitioner.
- Digitaliseringsstyrelsen: Er I omfattet af NIS2?
- Sikker Digital: NIS2-tjek
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kundens spørgeskema om produktet · Når kunden er en bank
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
