Mindre vandværker, spildevandsselskaber og fjernvarmeværker driver anlæg, som et helt lokalsamfund er afhængigt af, ofte med en administration på få personer og en bestyrelse af frivillige eller kommunalt udpegede medlemmer. Sikkerhedsansvaret bør organiseres, så bestyrelsen træffer de store beslutninger og får en fast rapport, driftslederen ejer risikoen for anlæggene, og en sikkerhedsleder, ansat eller ekstern, holder sammen på metoden og leverandørerne. Første skridt er at finde ud af, hvilken lov der gælder for jeres selskab, for det er ikke altid NIS2-loven.
Hvilken lov gælder?
NIS2-lovens bilag 1 nævner både drikkevand, spildevand og fjernvarme. Men loven siger i § 1, stk. 2, at den ikke finder anvendelse på enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren. Et fjernvarmeværk skal derfor først afklare, om det hører under energisektorens regler. For vand og spildevand gælder NIS2-loven, hvis selskabet har den størrelse, loven kræver.
Størrelsen er det næste spørgsmål. Efter § 5 er en virksomhed af en type i bilagene en vigtig enhed, hvis den beskæftiger mindst 50 personer eller har både en omsætning og en balance over 10 mio. euro. Mange små vandværker ligger under grænserne. Loven giver dog i § 4, stk. 3, nr. 5, og § 5, stk. 2, mulighed for, at en enhed kan anses for omfattet uanset størrelse, fx hvis den er eneste udbyder af en væsentlig tjeneste, eller hvis en forstyrrelse kan påvirke folkesundheden. Hvordan inddelingen i væsentlige og vigtige enheder fungerer, er beskrevet på nis2-pentest.dk.
Uanset udfaldet bør ledelsen skrive vurderingen ned og tage den op igen, når selskabet vokser, fusionerer eller får nye opgaver.
Hvem er ledelsesorganet?
NIS2-loven definerer ledelsesorganet i § 3, nr. 20. I et aktieselskab eller anpartsselskab med både bestyrelse og direktion er det bestyrelsen. For virksomheder under lov om visse erhvervsdrivende virksomheder, som kan omfatte andelsselskaber, er det ligeledes bestyrelsen, hvis der er både bestyrelse og direktion. Er et forsyningsselskab med bestyrelse og direktion omfattet, er det altså bestyrelsen, der skal tage stilling til og godkende tiltagene, holde øje med gennemførelsen og selv følge kurser, sådan som § 7 beskriver. Mere om, hvem ledelsesorganet er, står under hvem er ledelsesorganet efter NIS2-loven.
For en bestyrelse af frivillige forbrugere eller kommunalt udpegede medlemmer kan det være en ny type ansvar. Det kræver, at materialet til møderne er kort og forståeligt, og at kurset passer til folk uden teknisk baggrund. Hvad et kursus for ledelsen bør indeholde, står i NIS2-uddannelse af ledelsen.
En lille administration med kritiske anlæg
Det typiske mindre forsyningsselskab har en driftsleder, et par medarbejdere og en række leverandører: én til styringen af anlæggene og fjernovervågningen, én til kontorets IT og måske en tredje til afregning og målere. Hver leverandør har adgang til sit eget område, og ingen har overblikket.
Sikkerhedsledelsen kan organiseres sådan:
- Bestyrelsen godkender risikovurderingen, planen og budgettet og får en kort status på hvert møde.
- Driftslederen er risikoejer for anlæggene og for, at forsyningen kan opretholdes manuelt, hvis styringen svigter.
- Sikkerhedslederen udarbejder risikovurderingen, holder leverandøroverblikket og forbereder bestyrelsens materiale.
- Leverandørerne leverer efter krav i aftalerne og rapporterer hændelser og ændringer.
Sikkerhedslederen behøver ikke være ansat. I et selskab af denne størrelse er der sjældent arbejde til en fuld stilling, og rollen kan dækkes af en fractional CISO med et fast antal timer om måneden.
Leverandørerne bærer meget af sikkerheden
Fordi selskabet har få egne medarbejdere, ligger meget af den daglige sikkerhed hos leverandørerne. Det gør aftalerne vigtige. Bestyrelsen bør vide, hvem der har fjernadgang til styringen, hvordan adgangen er beskyttet, og hvem der skal give besked, hvis noget sker. Hvordan krav og opfølgning bygges op, står under leverandørstyring på sikkerhed.
Mange mindre forsyningsselskaber køber styring og fjernovervågning hos den samme leverandør som naboværkerne. Det kan være en fordel, fordi leverandøren kender opgaven, men det betyder også, at en svaghed hos leverandøren kan ramme flere selskaber på én gang. Bestyrelsen bør derfor spørge, hvordan leverandøren adskiller kunderne fra hinanden, hvem hos leverandøren der kan logge på jeres anlæg, og hvordan I får besked, hvis leverandøren selv bliver ramt. Svarene skal stå i aftalen eller i et bilag til den, så de kan følges op ved næste gennemgang.
Et tænkt eksempel
Et vandværk med fire ansatte og en bestyrelse på fem frivillige har vurderet, at det ligger under størrelsesgrænserne. Bestyrelsen beslutter alligevel at følge lovens minimumskrav som ramme, fordi kommunen og forbrugerne forventer det. Den eksterne sikkerhedsleder laver en risikovurdering sammen med driftslederen, finder at styringsleverandørens fjernadgang ikke er beskyttet med flere faktorer, og får det skrevet ind i aftalen. Bestyrelsen godkender planen på et møde og får en side med status hvert kvartal.
Det skal I lade være med
- At gå ud fra, at loven ikke gælder, uden at vurderingen er lavet og skrevet ned.
- At lade styringsleverandøren være alene om sikkerheden for anlæggene.
- At give bestyrelsen teknisk materiale, den ikke kan bruge. Den skal kunne træffe beslutninger.
- At glemme den manuelle drift. Planen skal vise, hvordan forsyningen opretholdes uden styringen.
- At lade ansvaret hvile på driftslederen alene, fordi han eller hun kender anlæggene bedst.
Det skal I kræve af den eksterne
- ☐ En skriftlig vurdering af, hvilken lov der gælder, og om selskabet er omfattet, med henvisning til primærkilder.
- ☐ Et bestyrelsesmateriale, der kan læses af medlemmer uden teknisk baggrund.
- ☐ Et overblik over leverandører og fjernadgange til anlæggene.
- ☐ Sikkerhedskrav i aftalerne med styrings- og IT-leverandørerne.
- ☐ En plan for, hvordan forsyningen opretholdes, hvis styringen er ude af drift. Se driftskontinuitet og krisestyring.
- ☐ En kort status til hvert bestyrelsesmøde.
Hvad I kan gøre nu
Sæt spørgsmålet om lov og størrelse på dagsordenen til næste bestyrelsesmøde, og bed om en skriftlig vurdering. Lav samtidig en liste over de leverandører, der har adgang til anlæggene. De to dokumenter er grundlaget for alt, hvad der følger, og de kan som regel udarbejdes på få uger. Ledelsens pligter er samlet under NIS2 og ledelsens ansvar. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- NIS2-loven (lov 434/2025) på retsinformation.dk: § 1, stk. 2, om enheder under lov om styrket beredskab i energisektoren, § 3, nr. 20, om ledelsesorganet, § 4, stk. 3, nr. 5, og § 5 om væsentlige og vigtige enheder, § 7 om ledelsesorganets pligter og bilag 1, nr. 1, 6 og 7, om fjernvarme, drikkevand og spildevand.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Personligt ansvar efter NIS2 · Cybersikkerhed som fast punkt på bestyrelsesmødet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
