Nej, ikke i ordlyden. NIS2-loven nævner hverken exit, exitstrategi eller exit-plan, og det gælder også, hvis I søger på en NIS2 exit strategy. Loven kræver andre ting, som en exit-plan kan være en måde at opfylde en del af, og det er derfor spørgsmålet dukker op. Om den er den rigtige måde for jer, er en beslutning, I selv skal træffe.
Forskellen tæller, fordi planen tit bliver omtalt, som var den et lovkrav. Nedenfor står det, loven siger, det, vejledningen siger, og det, der er vores vurdering, adskilt. Hvad NIS2 er, og om I er omfattet, står under er vi omfattet af NIS2?. Artiklen forudsætter, at I er det.
Lovkrav: det, loven siger
Loven er nr. 434 af 6. maj 2025 og gælder siden 1. juli 2025. Tre bestemmelser er relevante.
§ 6, stk. 1, kræver foranstaltninger, der er passende og forholdsmæssige, og nævner som minimum blandt andet:
- nr. 3: driftskontinuitet med backupstyring, reetablering og krisestyring.
- nr. 4: forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter af forholdet til direkte leverandører og tjenesteudbydere.
- nr. 6: vurdering af, om foranstaltningerne er effektive.
§ 6, stk. 2, siger, at en virksomhed, der ikke opfylder kravene, uden unødigt ophold skal træffe korrigerende foranstaltninger.
§ 7, stk. 1, siger, at ledelsesorganet skal godkende foranstaltningerne og føre tilsyn med gennemførelsen.
Ministeren kan fastsætte nærmere regler, og der kan gælde sektorregler. Dem har vi ikke gennemgået. Finansielle virksomheder under DORA er efter vores læsning af § 1, stk. 3, typisk uden for loven og har deres eget krav, se DORA og exitstrategien.
Vejledning: det, SAMSIK skriver
SAMSIK’s vejledning fra juni 2025 er ingen lov. Den viser, hvordan myndigheden tænker om emnet. Vurderingen af, om kravene er opfyldt, ligger hos den sektoransvarlige myndighed.
Under forsyningskædesikkerhed nævner vejledningen på s. 30 evnen til at vælge en anden leverandør og begrænse afhængigheden som et muligt kriterium ved valg af leverandør. S. 31 nævner, at kontrakter eksempelvis kan rumme et afsnit om leverandørens forpligtelser ved aftalens ophør, fx at udlevere og bortskaffe data. S. 32 spørger i et eksempel, om kritiske leverandører kan skiftes i tide. Ordene “kan” og “eksempelvis” betyder noget her. Det er forslag og overvejelser og ingen pligt til at have et bestemt dokument. Spørgsmålet tager vi særskilt i kan I skifte kritiske leverandører i tide?.
Gennemførelsesforordning 2024/2690 går et skridt videre for cloud, datacentre og andre digitale udbydere. Bilagets punkt 5.1.2, litra d, nævner evnen til at begrænse leverandørfastlåsning, og punkt 5.1.4, litra h, leverandørens pligter ved kontraktens ophør. Almindelige virksomheder er ikke omfattet. Heller ikke her står en exit-plan.
Vores vurdering: hvad det betyder
Det følgende er vores vurdering og ingen retlig konklusion. Kan en virksomhed vise, at den forholder sig til afhængigheden af en kritisk leverandør, står den bedre i forhold til § 6, stk. 1, nr. 3 og 4, end en, der har ignoreret den. Hvordan den viser det, bestemmer virksomheden.
Tre svar kan alle være passende, når de hviler på en vurdering og en ledelsesbeslutning:
Et system kan blive. Risikoen er lille, eller tjenesten kan købes igen på kort tid. Skriv begrundelsen, og lad ledelsen godkende den. Se hvornår planen er spild.
Små greb er nok. En kopi af data, en test af gendannelse og en reserveprocedure dækker behovet.
En plan er det rette. Et kritisk system er svært at erstatte, kunder spørger, eller konsekvensen ved et stop er stor. Så er den skrevne plan det mest direkte svar.
Det, der ikke holder, er at have kendt til afhængigheden uden at have forholdt sig til den. Ét fund i risikovurderingen kan følges til en beslutning med metoden i NIS2-arbejdet viste en afhængighed.
Det samme materiale kan bruges flere gange
Her ligger den praktiske gevinst. Kortlægningen af kritiske systemer, gendannelsestesten og overvejelserne om leverandører er arbejde, I alligevel skal gøre under § 6. En exit-plan bygger videre på det. Lægger I arbejdet samme sted, får I både NIS2-dokumentation og en plan, så det samme ikke laves to gange.
Hvordan ejerskab og lovvalg hos leverandøren indgår i et leverandørregister, står under NIS2 og jurisdiktion. Den bredere ledelse af leverandørsikkerhed er beskrevet under leverandørstyring på sikkerhed.
Kunden kan kræve det, selv om loven ikke gør
Er I leverandør til en virksomhed under NIS2 eller DORA, kan kravet komme ad den vej i en kontrakt. Så er det aftalen, der forpligter, og loven er kun baggrunden. Se kunden kræver en exit-plan.
Hvad det kræver, og hvad det koster at lade være
At tage stilling kræver sjældent meget, hvis NIS2-arbejdet er i gang: nogle timer til at gennemgå de kritiske leverandører, en vurdering pr. leverandør med dato, og et punkt på et ledelsesmøde. Skal der laves en plan, vurderes den særskilt pr. system, lavt og højt, i tid og arbejde.
At lade spørgsmålet ligge er billigt, indtil nogen spørger. Regn i egne tal, hvad et stop hos den kritiske leverandør koster pr. dag, og hvor længe det vil vare at nå ud. Sammenhold tre ting: arbejdet med vurderingen, tabet ved et stop, og det, I får, selv om intet flytter: et svar til tilsyn, kunder og bestyrelse, som kan vises frem.
Det skal I lade være med
- At skrive, at NIS2 kræver en exit-plan · ordlyden siger det ikke, og det gør jeres egen dokumentation upræcis.
- At læse det modsatte ud af det · at ordet mangler, fritager jer ikke for at forholde jer til leverandørerne.
- At behandle vejledningens eksempelspørgsmål som en tjekliste, der skal bestås · det er hjælp til overvejelser.
Det skal planen kunne vise
- ☐ Hvilke leverandører der er vurderet som kritiske.
- ☐ Hvilket af de tre svar der er valgt for hver, og hvorfor.
- ☐ Ledelsens godkendelse efter § 7 med dato.
- ☐ Hvor vurderingen står i NIS2-dokumentationen.
- ☐ Hvornår den tages op igen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 1, stk. 3, § 6 og § 7. Ordet exit forekommer ikke.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 2 og PDF-s. 30 til 32. Vejledning, ingen lov.
- Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 5.1.2 og 5.1.4. Gælder kun digitale udbydere.
Senest gennemgået: november 2026.
Næste skridt
Tag listen over kritiske leverandører, og vælg et af de tre svar for hver. Læg svarene frem for ledelsen, og skriv beslutningen ind i NIS2-dokumentationen.
Læs også: Test af gendannelse under NIS2 · Vi gør ingenting: bevidst accept
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
