En AI-tjeneste kan høre med på listen over leverandører i jeres NIS2-arbejde, hvis den indgår i de net- og informationssystemer, forretningen bygger på. Om den gør, afgøres af jeres egen risikovurdering. Hører den med, skal den behandles som andre leverandører i forsyningskæden og vurderes på nogle punkter, der er særlige for AI.
NIS2 og AI-forordningen er to forskellige regelsæt med hver sit formål. Denne artikel handler om NIS2-lovens krav til forsyningskæden og om, hvad de betyder for valget af AI-tjeneste. NIS2 i bredden og ledelsens rolle beskriver ciso-as-a-service.dk.
Hvad loven kræver
NIS2-loven fra maj 2025 kræver, at de virksomheder, der er omfattet, træffer passende og forholdsmæssige foranstaltninger. En af dem er sikkerhed i forsyningskæden (§ 6, stk. 1, nr. 4), som omfatter sikkerheden i forholdet til de leverandører og tjenesteudbydere, virksomheden handler direkte med. Efter § 7 er det ledelsesorganet, der godkender dem og fører tilsyn med gennemførelsen.
Loven nævner ikke AI-tjenester særskilt, og den siger ikke, hvor en leverandør skal ligge. Lovens ordlyd stiller ingen krav om, at jeres AI skal være europæisk. Hvad den kræver, er, at jeres valg af leverandører indgår i risikostyringen.
Styrelsen for Samfundssikkerheds vejledning til loven nævner som kriterier ved valg af leverandør bl.a. virksomhedens mulighed for at skifte til en anden leverandør og holde afhængigheden nede, og leverandørens økonomi og geopolitiske risici. Det er vejledning og intet lovkrav. Kriterierne passer godt på en AI-tjeneste.
Hører AI-tjenesten med?
Stil tre spørgsmål til hver AI-tjeneste, I bruger.
- Indgår den i en forretningskritisk proces? Står en del af driften stille, hvis tjenesten forsvinder i en uge?
- Har den adgang til jeres systemer eller data? Er den forbundet til mail, filer, kundesystem eller interne databaser, eller lægger medarbejderne data ind, som er vigtige for virksomheden?
- Kan den påvirke andre systemer? Kan den handle på jeres vegne, fx sende, oprette eller ændre noget?
Svarer I ja til ét af spørgsmålene, kan tjenesten høre med på listen. Svarer I nej til alle, kan I skrive det ned som en vurdering og gå videre. Det er jeres egen risikovurdering, der afgør det. Denne artikel kan ikke afgøre det for jer.
Sådan behandles den
Hører AI-tjenesten med, får den samme behandling som andre leverandører. Den skal stå på leverandøroversigten med ejer, formål og den aftale, den bygger på. Den skal have en risikovurdering, og den skal følges op.
Hertil kommer punkter, som er særlige for AI. Skriv dem ind i risikovurderingen.
- Modellens livscyklus. Modeller udfases efter en plan, og varslet afhænger af udbyder og modeltype. Hvad sker der med jeres proces, hvis modellen udfases?
- Automatiske versionsskift. Bruger I et navn, der automatisk flytter til nyeste version, kan svarene ændre sig.
- Data, der går ind. Hvilke data sendes til tjenesten, hvor gemmes prompter og svar, og hvor længe?
- Adgange. Hvilke nøgler og konti giver tjenesten adgang til jeres systemer, og hvem kan tilbagekalde dem?
- Alternativet. Kan opgaven flyttes til en anden model eller tjeneste, og hvor lang tid tager det?
- Jurisdiktion. Hvem er aftalepart, og under hvilket lands lovgivning ligger driften? Sammenhængen mellem NIS2 og jurisdiktion beskriver digital-suveraenitet.dk.
Når vurderingen ændrer valget
Risikovurderingen kan vise, at tjenesten er i orden, eller at den kræver ændringer. Det kan være en anden plan, en fast modelversion, kortere lagring af logs, færre adgange eller en plan for at skifte. I nogle tilfælde kan den vise, at en anden tjeneste passer bedre til den risiko, I vil acceptere.
Ledelsen skal godkende foranstaltningerne. Læg derfor de AI-tjenester, der hører med, frem for ledelsen sammen med de andre leverandører, med en kort beskrivelse i ord af risikoen og af det, I gør ved den.
Hvad det kræver, og hvad det koster at lade være
Hvis I allerede har en leverandøroversigt fra NIS2-arbejdet, kræver det at tilføje AI-tjenesterne en gennemgang af jeres brug og et par timer pr. tjeneste til risikovurderingen. Har I ingen oversigt, er AI-tjenesterne en lille del af en større opgave.
Holdes AI-tjenesterne uden for, har jeres risikostyring et hul. Det kan vise sig ved et tilsyn, i en kundes spørgeskema eller ved en hændelse, hvor ingen vidste, at tjenesten var forbundet til jeres systemer. Det sidste er det dyreste, fordi I så skal finde ud af det under pres.
Det skal I lade være med
- At holde AI ude af leverandøroversigten, fordi den er ny · det afgøres af risikoen.
- At læse NIS2 som et krav om europæisk AI · loven stiller ikke det krav.
- At vurdere AI-tjenesten som enhver anden SaaS · livscyklus og data kræver egne punkter.
Det skal valget kunne vise
- ☐ Hver AI-tjeneste vurderet efter de tre spørgsmål, med resultatet skrevet ned.
- ☐ De tjenester, der hører med, på leverandøroversigten med ejer.
- ☐ De særlige AI-punkter i risikovurderingen.
- ☐ Ledelsens godkendelse af foranstaltningerne.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 6. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven, implementering af cybersikkerhedsforanstaltninger, juni 2025, s. 30, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres leverandøroversigt, og stil de tre spørgsmål til hver AI-tjeneste, I bruger.
Læs også: Modeller med udløbsdato · Hændelse hos AI-leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
