NIS2-loven pålægger væsentlige og vigtige enheder at håndtere sikkerheden i forholdet til deres direkte leverandører og tjenesteudbydere. For ledelsen koger det ned til tre spørgsmål: Hvilke leverandører er kritiske for os, hvilke krav skal de leve op til, og hvordan ved vi, at kravene bliver overholdt? Ledelsesorganet godkender denne del af foranstaltningerne på samme måde som resten og fører tilsyn med gennemførelsen. Selve arbejdet med at kortlægge leverandørerne, formulere krav og følge op kan en CISO stå for. Prioriteringen og accepten af det, som ikke lader sig opnå, bliver hos ledelsen.
Hvad lovteksten siger om leverandører
I lov nr. 434 af 6. maj 2025 står forsyningskædesikkerhed som et af de punkter, foranstaltningerne efter § 6, stk. 1, som minimum skal omfatte. Bestemmelsen nævner udtrykkeligt de sikkerhedsrelaterede aspekter af forholdet mellem enheden og dens direkte leverandører eller tjenesteudbydere. Efter § 7 skal foranstaltningerne være godkendt af ledelsesorganet, som også fører tilsyn med, at de bliver gennemført.
Direktivet bag loven uddyber i artikel 21, stk. 3, at enhederne skal tage hensyn til de sårbarheder, der er særlige for hver direkte leverandør, og til den samlede kvalitet af leverandørernes produkter og sikkerhedspraksis, herunder deres procedurer for sikker udvikling. Loven giver ingen fast liste over krav. Tilgangen er risikobaseret og forholdsmæssig, så niveauet skal passe til den risiko, den enkelte leverandør udgør. Styrelsen for Samfundssikkerhed har udgivet vejledninger om implementeringen, og de er det naturlige sted at begynde, når kravene skal fortolkes. Hvordan reglerne rammer netop jeres virksomhed, er en vurdering for en jurist, og teksten her er praktisk orientering.
Fra leverandørliste til prioritering
De fleste virksomheder har langt flere leverandører, end ledelsen kan forholde sig til enkeltvis. Opgaven er derfor at sortere. Tre kriterier rækker langt: Hvor meget adgang har leverandøren til systemer og data, hvor hårdt rammes driften, hvis leverandøren svigter, og hvor svært er det at finde en afløser?
Tag produktionsvirksomheden med 40 ansatte og tre centrale leverandører. Driftsleverandøren har fjernadgang til alle servere. ERP-systemet kører som en tjeneste hos en anden udbyder. Leverandøren af maskinstyringen har en servicekonto, der giver adgang til produktionsnettet. Alle tre lander i den øverste gruppe, men af forskellige grunde, og kravene til dem bør derfor også være forskellige. Rengøringsfirmaet med adgangskort til bygningen hører med på listen, men i en lavere gruppe.
Hvordan listen bygges og holdes ved lige, er beskrevet i artiklen om leverandøroverblikket.
Beslutninger, der bliver på ledelsens bord
En CISO kan forberede næsten alt i leverandørarbejdet. Nogle beslutninger kræver dog ledelsens underskrift, fordi de handler om, hvor meget risiko virksomheden vil bære:
- Godkendelse af, hvilke leverandører der regnes som kritiske, og dermed hvor kræfterne bruges.
- Det kravniveau, der gælder for hver gruppe af leverandører.
- Hvad der sker, når en kritisk leverandør ikke kan eller vil leve op til kravene.
- Accept af den risiko, der står tilbage, når alt det mulige er gjort.
- Ressourcer til opfølgning, herunder tid til at genforhandle aftaler.
Punkt 4 er det, der oftest glider ud. En leverandør, der afviser at indføre totrinsbekræftelse på sin fjernadgang, efterlader et hul, som nogen skal tage stilling til. Hvem der må træffe den slags beslutninger, og hvordan de skrives ned, står i artiklen hvem må acceptere en risiko?. Den bredere ramme for ledelsens pligter findes under NIS2 og ledelsens ansvar.
Krav, som kan efterprøves
Et krav om, at leverandøren skal have “et passende sikkerhedsniveau”, giver intet at følge op på. Krav, der virker, er konkrete og målbare. Eksempler kan være beskyttelse af fjernadgang med flere faktorer, besked til jer inden for en aftalt frist ved hændelser, der berører jeres data eller drift, oplysning om egne underleverandører, adgang til relevant dokumentation og ret til at stille opfølgende spørgsmål.
Hvilke punkter der hører hjemme i selve aftalen, er gennemgået i sikkerhedskrav til jeres IT-leverandør. Skal I kræve, at en leverandør får sine systemer testet, og vil I vide, hvordan sådan et krav formuleres, findes en grundig gennemgang af testkrav til leverandøren under NIS2.
Tilsynet skal kunne ses bagefter
Når loven siger, at ledelsesorganet fører tilsyn, rejser det spørgsmålet om, hvordan tilsynet viser sig i praksis. Et fornuftigt mønster er, at ledelsen med faste mellemrum får en kort status på de kritiske leverandører: Er der nye leverandører på listen, har nogen haft hændelser, er der krav, som ikke er opfyldt, og hvad gøres der ved det? Beslutningerne skrives ind i mødereferatet, så det senere kan dokumenteres, at ledelsen har haft sagen oppe og taget stilling.
Leverandørstatus kan med fordel indgå som et fast punkt i den samlede sikkerhedsrapport til bestyrelsen. Hvordan det løbende arbejde med møder og spørgsmål til leverandøren tilrettelægges, er emnet i artiklen om opfølgning på leverandøren.
Kæden går også den anden vej
Mange virksomheder er selv leverandør for en NIS2-omfattet kunde. Så stiller kunden de samme spørgsmål til jer, som I stiller til jeres egne leverandører. Det kan være en fordel at se de to sider i sammenhæng, fordi svarene til kunden ofte afhænger af, hvad jeres leverandører gør. Lover I kunden besked om hændelser inden for en kort frist, må jeres egen driftsleverandør kunne give jer besked endnu hurtigere. Mere om den side af sagen findes under når kunderne stiller sikkerhedskrav.
Det skal I lade være med
- At sende samme spørgeskema til alle leverandører · det giver mange svar og lidt viden, og de kritiske leverandører drukner i mængden.
- At lade leverandøren vurdere sig selv uden opfølgning · et udfyldt skema er en erklæring, som skal efterprøves med stikprøver og spørgsmål.
- At gemme leverandørarbejdet i indkøbsafdelingen · indkøb kan styre processen, men sikkerhedskravene skal fastsættes ud fra risiko.
- At glemme de små leverandører med stor adgang · en lokal konsulent med administratorrettigheder kan betyde mere end en stor cloudtjeneste.
- At godkende listen én gang og aldrig igen · leverandører kommer til og falder fra, og adgange ændrer sig.
Det skal I kræve af den eksterne
En ekstern CISO, der skal lede arbejdet med forsyningskæden, bør kunne levere følgende:
- ☐ En prioriteret liste over leverandører med begrundelse for hver placering.
- ☐ Forslag til kravniveauer pr. gruppe, som ledelsen kan godkende.
- ☐ Konkrete aftalepunkter, som kan bruges ved genforhandling og nye kontrakter.
- ☐ En fast rytme for status til ledelsen, med afvigelser og forslag til beslutninger.
- ☐ Oplysning om egne bindinger til nogen af jeres leverandører, så vurderingerne kan stå alene.
- ☐ Dokumentation, der ligger i jeres egne systemer og kan overtages af andre.
Næste skridt er at få lavet den første sortering af leverandørerne og lægge den frem for ledelsen til godkendelse. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, nr. 4 (forsyningskædesikkerhed som minimumsforanstaltning), og § 7 (ledelsesorganet godkender foranstaltningerne og fører tilsyn).
- Direktiv (EU) 2022/2555 (eur-lex): artikel 21, stk. 2, litra d, og stk. 3, om leverandørers sårbarheder og sikkerhedspraksis.
- SAMSIK: NIS 2-vejledninger: myndighedens vejledninger om implementering af foranstaltningerne.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem har ansvaret, når driften er outsourcet? · NIS2 og ledelsens ansvar for cybersikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
