Energiselskaberne skal skrive sikkerhedskrav ind i aftalerne med deres leverandører. Energinet advarede i høringen om, at kravene vil give højere priser.
Kravene står i Energistyrelsens bekendtgørelse om modstandsdygtighed og beredskab i energisektoren fra marts 2025. § 29 kræver, at virksomhederne har procedurer for forsyningskæde-sikkerhed i leverandørforhold.
§ 30 er mere konkret. Den gælder aftaler med direkte leverandører af produkter og tjenester, der kan påvirke forsyningssikkerheden eller sikkerheden i virksomhedens IT-systemer.
Virksomheden skal blandt andet sikre, at der stilles krav til leverandørens risikostyring og hændelseshåndtering, og at virksomheden får besked om væsentlige hændelser hos leverandøren. Leverandøren skal i passende omfang deltage i virksomhedens øvelser. Der skal være kriterier for, hvornår leverandøren må lægge væsentlige dele af opgaven ud til underleverandører. Og virksomheden skal bevare ejerskabet til de nødvendige og fortrolige data.
Da udkastet var i høring, pegede flere på prisen. “Kravene vil desuden medføre øgede priser grundet de ekstra foranstaltninger,” skrev Energinet ifølge Energistyrelsens høringsnotat. EWII skrev, at en enkelt virksomhed “kan have vanskeligt ved at stille krav til større leverandører”.
Energistyrelsen anerkendte, at kravene kan være byrdefulde, men vurderede dem som proportionelle. De gælder de direkte leverandører.
Selv når en leverandør ikke er direkte omfattet af energisektorens beredskabsregler, kan sikkerhedskravene nå den gennem kundens kontrakt. Er leverandøren samtidig selv omfattet af NIS2, møder den begge sæt krav.
Brancheforeningen IT-Branchen har beskrevet konsekvensen i kæden. Skal en leverandør give kunden besked inden for 24 timer, kan den ikke bruge en underleverandør, der først melder efter 72 timer.
Kravet til jer er altså afhængigt af, hvad jeres egne leverandører kan levere.
Et leverandøraudit kan klarlægge, om jeres leverandører lever op til de NIS2-krav, der ruller ned gennem kæden.
Så mit råd til dig, der leverer produkter eller tjenester til en virksomhed i energisektoren:
1. Spørg kunden, om jeres aftale er omfattet af bekendtgørelsens § 30, før kontrakten fornyes. Få svaret og de konkrete krav skriftligt.
2. Tjek, om jeres egne underleverandører kan melde en væsentlig hændelse hurtigt nok til, at I kan overholde den frist, I lover kunden. Kan de ikke, skal deres aftale ændres først.
3. Udpeg den medarbejder, der deltager, når kunden indkalder til øvelse, og regn timerne med, når aftalen prissættes.
Har du brug for en uafhængig gennemgang af jeres beredskab? Ring til Nielco IT på 70 13 63 23.
