Ansvaret for informationssikkerheden bliver i virksomheden, også når driften er lagt ud. Driftsleverandøren svarer for de opgaver, den har påtaget sig i aftalen, og cloudtjenesterne svarer for deres platform. Alt det, der ligger imellem, fx brugernes adgange, konfigurationen af cloudtjenesterne og beslutningen om, hvilke data der skal beskyttes hvordan, er virksomhedens eget. Den sikreste vej til klarhed er at tegne fordelingen op for hvert vigtigt system, så alle tre parter kan se, hvor deres opgave slutter.
Tre lag med hver sin ejer
En typisk mindre virksomhed har sin IT fordelt på tre slags parter. Der er en driftsleverandør, der passer arbejdspladser, netværk og måske en server. Der er en række cloudtjenester, fx mail, kontorpakke, økonomisystem og CRM. Og der er virksomheden selv med medarbejdere, data og forretningsprocesser.
Hvert lag har sin egen ejer. Cloududbyderen står for sin platform og det, den har lovet i sine vilkår. Driftsleverandøren står for det, der står i driftsaftalen. Virksomheden står for resten. Problemet er, at grænserne sjældent er tegnet op, og at mange tror, at “resten” er mindre, end det er. Opdelingen er en del af det overordnede arbejde med leverandørstyring på sikkerhed.
Det, cloududbyderen svarer for
De store cloudtjenester arbejder med en delt ansvarsmodel. Udbyderen sikrer datacentre, hardware og selve tjenestens software. Kunden er ansvarlig for, hvem der får adgang, hvordan tjenesten er sat op, og hvilke data der lægges ind.
Det betyder, at en mailtjeneste kan være teknisk velsikret, mens virksomhedens konti står uden flerfaktor-login, eller deling af filer er åben for alle med et link. Udbyderen har leveret det, den lovede. Hullet ligger i opsætningen, og opsætningen er kundens. I mange virksomheder har ingen kigget på den, siden tjenesten blev taget i brug.
Det, driftsleverandøren svarer for
Driftsleverandøren svarer for de opgaver, der står i aftalen. Typisk er det opdateringer, backup, overvågning af bestemte systemer og support. Om leverandøren også konfigurerer og overvåger cloudtjenesterne, afhænger helt af aftalen. Det er en typisk gråzone.
Er det ikke skrevet ned, har leverandøren som regel ikke påtaget sig det. Leverandøren kan godt have adgang til administrationen af mailtjenesten uden at have ansvaret for, at sikkerhedsindstillingerne er rigtige. Når der sker noget, peger parterne på hinanden, og en artikel om netop den situation, hvor leverandører peger på hinanden, viser, hvor hurtigt det sker. Kravene til leverandøren bør derfor stå i aftalen, som beskrevet i sikkerhedskrav til jeres IT-leverandør.
Mindre tjenester følger samme mønster. En bookingløsning, et lønsystem eller en tjeneste til elektronisk underskrift har hver deres opsætning med brugere, rettigheder og indstillinger for deling. Ofte er det en medarbejder i en fagafdeling, der har oprettet tjenesten og har administratorrollen. Den person skal vide, at rollen også rummer et ansvar for sikkerheden.
Det, der bliver hos jer
Uanset hvor meget der købes ude, ligger nogle opgaver altid hos virksomheden selv.
- Beslutninger om risiko. Hvilke risici der accepteres, og hvad der skal gøres ved resten.
- Overblik over data. Hvilke data der er vigtigst, og hvor de ligger.
- Brugere og rettigheder. Hvem der skal have adgang til hvad, og besked til leverandøren, når nogen starter eller stopper.
- Krav og opfølgning. At stille krav til leverandørerne og kontrollere, at de bliver opfyldt.
- Beredskab. Hvem der leder, og hvem der beslutter, når noget går galt.
For virksomheder omfattet af NIS2-loven er det ledelsesorganet, der godkender foranstaltningerne og har tilsynet med, at de gennemføres, jf. § 7. Ansvaret kan ikke skrives over på en leverandør, uanset hvor meget af arbejdet den udfører. Hvordan arbejdet og ansvaret kan fordeles mellem ledelse og CISO, står i kan ledelsen uddelegere NIS2-arbejdet.
Tegn fordelingen op
Den mest praktiske måde at skabe klarhed på er en enkel oversigt pr. system. For hvert vigtigt system, fx mail, økonomi, produktionsstyring og fildeling, svares der på fire spørgsmål.
- Hvem udfører opgaven?
- Hvem kontrollerer, at den er udført?
- Hvem beslutter ændringer?
- Hvem skal have besked ved en hændelse?
Tag et revisionsfirma med 40 ansatte, der bruger en driftsleverandør til arbejdspladser og en cloudtjeneste til mail og dokumenter. Ved gennemgangen viser det sig, at ingen har ansvaret for at kontrollere indstillingerne for ekstern deling i dokumentsystemet. Leverandøren har adgang, men ingen opgave. Direktionen beslutter, at leverandøren overtager opgaven mod en mindre tilføjelse til aftalen, og at den eksterne CISO kontrollerer indstillingerne hvert kvartal. Fordelingen står nu på én side og deles med leverandøren.
Oversigten skal opdateres, når der kommer et nyt system, eller når en leverandør skiftes ud. Den ligger bedst i samme mappe som leverandørlisten og risikovurderingen, så den, der skal bruge den under en hændelse, ved, hvor den findes. Et kort gennemsyn en gang om året sikrer, at navne og telefonnumre stadig passer.
Det skal I lade være med
- At gå ud fra, at cloud betyder, at sikkerheden er udbyderens. Opsætningen er jeres.
- At give leverandøren administratoradgang uden en opgavebeskrivelse. Adgang og ansvar skal følges ad.
- At vente med fordelingen til en hændelse. Under pres bliver ansvar til diskussion.
- At lade fordelingen være mundtlig. Medarbejdere og leverandører skifter.
- At glemme de små tjenester. Et regnskabsprogram eller et bookingsystem kan rumme følsomme data.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne tegne fordelingen op uafhængigt af den leverandør, der udfører driften. Det kræver, at rådgiveren hverken er ansat hos, ejet af eller betalt af leverandøren.
- ☐ En oversigt pr. system med de fire spørgsmål besvaret.
- ☐ En gennemgang af opsætningen i de vigtigste cloudtjenester.
- ☐ Forslag til ændringer i driftsaftalen, hvor der er huller.
- ☐ En fordeling, der deles og accepteres af driftsleverandøren.
- ☐ En årlig opdatering, og en ved hvert nyt system.
- ☐ Klar besked til ledelsen om de opgaver, der ligger hos virksomheden selv.
Næste træk for ledelsen
Vælg de tre systemer, der ville gøre mest skade, hvis de stod stille i en uge. Stil de fire spørgsmål til hvert af dem på næste møde med IT-leverandøren. Hvor svaret er uklart, har I fundet det første sted at sætte ind. Overblikket over alle leverandører med adgang til jeres data er beskrevet i overblik over leverandører.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed og § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgning på leverandøren · Beredskab og hændelser set fra ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
