NIS2 og Datatilsynet

NIS2-loven kræver ingen exit-plan. Ordet står ikke i loven, og det står heller ikke i Datatilsynets vejledning om cloud. Beslutningen her er derfor jeres egen: er en plan den rimelige måde at opfylde det, reglerne faktisk siger om leverandører, kontinuitet og data? Siden skiller lovkrav fra vejledning og fra vores egen vurdering, så I kan se, hvad der er hvad. Teksterne er forenklet og er ikke juridisk rådgivning.

Det, reglerne siger

Lovkrav. Efter § 6, stk. 1, i NIS2-loven skal omfattede enheder have passende og forholdsmæssige foranstaltninger, som minimum for driftskontinuitet, herunder backupstyring og reetablering, og for forsyningskædesikkerhed, herunder forholdet til direkte leverandører. § 7 lader ledelsesorganet godkende foranstaltningerne og føre tilsyn med dem.

Vejledning. Styrelsen for Samfundssikkerhed (SAMSIK) går længere i sin vejledning fra juni 2025. Den nævner valg af alternativ leverandør, kontrakter med forpligtelser ved aftalens ophør og jævnlige test af backup, og et af dens eksempler lyder på, om kritiske leverandører lader sig skifte i tide. Det er et spørgsmål i en vejledning og ikke et lovkrav.

Datatilsynet. Vejledningen om cloud fra marts 2022 handler om persondata. Den taler om, at en tjeneste kan skulle fravælges, og spørger, om leverandøren kan slette eller tilbagelevere oplysninger ved ophør. På tilsynets side står fortsat, at vejledningen vil blive opdateret. Status blev læst 6. november 2026.

Vores vurdering. Et skriftligt svar på SAMSIK’s spørgsmål ligner en exit-plan for de kritiske leverandører. Om en plan er nødvendig hos jer, afhænger af jeres risikovurdering.

Artiklerne

• Kræver NIS2 en exit-plan? Det ærlige svar først, derefter det, loven kræver i stedet.
• Kan I skifte kritiske leverandører i tide? SAMSIK’s spørgsmål Spørgsmålet læst ord for ord, og et svar, der kan bruges ved tilsyn.
• Test af gendannelse under NIS2: det, der skal kunne dokumenteres Hvad der skal kunne vises, og hvem der godkender.
• Datatilsynet og exitstrategien: det, vejledningen siger, og det, den ikke siger Fravalg af en tjeneste omsat til plan og afprøvning hos en privat virksomhed.

Sådan tager I stilling

Er I omfattet af NIS2, så begynd med risikovurderingen. Peger den på en leverandør, I ikke kan undvære, er det naturligt at beskrive, hvad I gør, hvis den forsvinder. Svaret kan være en exit-plan, en reserveløsning eller en dokumenteret accept. Er kun jeres kunder omfattet, kommer spørgsmålet ofte gennem kontrakten, og så er kundens krav det rette sted at begynde. NIS2-loven gælder ikke enheder, hvor sektorregler har mindst samme virkning. For finansielle enheder er det vores læsning, at det er DORA, og dér står planen som krav, se DORA og Finanstilsynet.

Hvad det kræver, og hvad det koster at lade være

Hvis NIS2-arbejdet allerede er i gang, kræver en exit-vinkel mest ekstra tid til de få kritiske leverandører: en plan pr. system og en dokumenteret gendannelsestest. Materialet genbruger meget fra kortlægningen. Lader I være, er prisen sjældent et brud på en bestemt paragraf, for ordet exit står der ikke. Prisen er, at I ikke kan svare, når nogen spørger, og at et stop rammer uden forberedelse. Opgør det i egne tal, og lad ledelsen tage stilling med Business case.

Det skal I lade være med

• At kalde en exit-plan et NIS2-krav · loven siger det ikke, og et lovkrav må ikke gøres bredere end ordlyden.
• At behandle eksempelspørgsmål som krav · vejledningen er en vejledning.
• At bruge Datatilsynets vejledning som guide til leverandørskifte · den handler om persondata.
• At lade ledelsen stå uden for · foranstaltningerne skal godkendes dér.

Det skal planen kunne vise

• ☐ Hvilket krav eller spørgsmål planen svarer på.
• ☐ Sammenhængen til risikovurderingen.
• ☐ Ledelsens godkendelse med dato.
• ☐ Resultat af gendannelsestest, godkendt af den relevante ledelse.
• ☐ Hvad I vil gøre ved de leverandører, I ikke kan skifte i tide.

Kilder

• Lov nr. 434 af 6/5 2025 (NIS2-loven): § 1, § 6 og § 7.
• SAMSIK: Vejledning til NIS 2-loven, implementering af cybersikkerhedsforanstaltninger, juni 2025.
• Datatilsynet: Vejledning om cloud, marts 2022.
• Datatilsynet: Cloud, læst 6. november 2026.

Senest gennemgået: november 2026.

Næste skridt

Find de leverandører, risikovurderingen kalder kritiske, og svar skriftligt på, om I kan skifte dem i tide. Svaret er grundlaget for ledelsens beslutning.

• Beslutningsnotat om exit-planen
• Kan I skifte kritiske leverandører i tide?

Læs også: Kræver NIS2 en exit-plan? · Test af eksport og gendannelse · Spørgsmål om exit-planer

→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT