Sikkerhedskravene i en kundekontrakt skal vurderes af den, der leder sikkerhedsarbejdet, før kontrakten underskrives, og konklusionen skal forelægges den, der skriver under. Vurderingen besvarer tre spørgsmål: Opfylder vi kravet i dag, kan vi opfylde det inden for kontraktens frister, og hvad koster det? Krav, der ikke kan opfyldes, skal enten forhandles om, gøres til genstand for et skriftligt forbehold eller accepteres bevidst af ledelsen med en plan. Det juridiske i kontrakten hører hjemme hos virksomhedens advokat. Det faglige spørgsmål om, hvorvidt kravene kan leves op til, skal besvares af en, der kender jeres sikkerhed.
Hvor kravene gemmer sig
Sikkerhedskrav står sjældent samlet ét sted. De kan ligge i selve kontrakten, i et bilag om informationssikkerhed, i kundens leverandørpolitik, som der henvises til, eller i en generel klausul om at overholde “gældende lovgivning og kundens retningslinjer”. Den sidste type er den sværeste, fordi den binder jer til dokumenter, I måske ikke har set.
Typiske krav handler om underretning ved hændelser inden for en bestemt frist, beskyttelse af kundens data, adgangsstyring, brug af underleverandører, ret til revision hos jer, dokumentation som certificering eller testrapporter og sletning af data, når samarbejdet ophører. Krav om underretning er ofte de mest tidskritiske, fordi en frist på få timer kræver, at jeres eget beredskab kan følge med.
Hvem gør hvad før underskriften
En arbejdsdeling, der fungerer i mange mindre og mellemstore virksomheder:
- Salg eller kundeansvarlig sender udkastet til vurdering, så snart sikkerhedskrav indgår, og i god tid før deadline.
- CISO gennemgår kravene, sammenholder dem med den faktiske tilstand og skriver en kort vurdering med forslag til forbehold eller ændringer.
- Advokaten vurderer ansvar, sanktioner og formuleringer.
- Direktøren beslutter, om kontrakten underskrives som den er, med forbehold eller efter genforhandling.
I virksomheder uden egen sikkerhedsfunktion kan rollen som vurderende ligge hos en ekstern CISO, der kender virksomhedens tilstand fra det løbende arbejde. Den bredere håndtering af kundekrav har sin egen temaside.
Sådan læses kravene
Gennemgangen går hurtigere med en fast metode. For hvert krav noteres:
- Hvad kravet konkret betyder i jeres miljø.
- Om det er opfyldt i dag, delvist opfyldt eller ikke opfyldt.
- Hvad det kræver at opfylde det, og hvor lang tid det tager.
- Om det afhænger af en af jeres egne leverandører.
- Hvilken dokumentation kunden kan forventes at bede om.
Punkt 4 overses ofte. Lover I kunden en frist for besked om hændelser, skal jeres driftsleverandør kunne give jer besked hurtigere. Står det ikke i jeres egen aftale med leverandøren, har I et krav, I ikke selv har hånd om. Hvad aftalen med jeres egen IT-leverandør bør indeholde, står i artiklen om krav i leverandøraftalen.
Forbehold, der kan holde
Et forbehold er en skriftlig præcisering af, hvad I kan og ikke kan leve op til. Det bør være konkret og tidsbestemt. Nogle eksempler på, hvordan forbehold kan lyde i praksis:
- Kravet om totrinsbekræftelse er opfyldt for alle brugerkonti. For to servicekonti indføres det senest på en angivet dato.
- Kunden underrettes om hændelser, der berører kundens data, inden for den frist, jeres driftsaftale kan understøtte, og som parterne aftaler.
- Revision hos leverandøren sker efter forudgående aftale og som udgangspunkt på grundlag af eksisterende dokumentation.
Formuleringerne skal tilpasses af advokaten. Pointen er, at forbeholdet skal afspejle den faktiske tilstand, så kunden kan regne med det. Hvem i ledelsen der står inde for den risiko, der ligger i perioden, indtil et krav er opfyldt, er beskrevet i hvem må acceptere en risiko?.
Et eksempel
Softwarehuset med fem udviklere skal underskrive en rammeaftale med en større kunde. Bilaget om informationssikkerhed kræver ISO 27001-certificering inden for et år, test af løsningen hvert år og underretning om hændelser inden for 24 timer. Gennemgangen viser, at softwarehuset arbejder efter standarden, men ikke er certificeret, og at driftsleverandørens aftale ikke indeholder nogen frist for besked om hændelser.
Direktøren vælger at forhandle certificeringskravet om til dokumentation for arbejde efter standarden med en plan for certificering, at aftale testkravet som beskrevet og at genforhandle driftsaftalen, før kontrakten træder i kraft. Hvad en certificering indebærer for en virksomhed af den størrelse, er gennemgået i ISO 27001: skal en mindre virksomhed certificeres?. En detaljeret gennemgang af de kontraktpunkter, NIS2-omfattede kunder typisk stiller til deres leverandører, findes på nis2-pentest.dk under NIS2-kontrakt med leverandøren.
Efter underskriften
Når kontrakten er underskrevet, skal kravene ind i den daglige styring. Hvert krav får en ansvarlig og, hvis det endnu ikke er opfyldt, en frist i planen. Krav om underretning ved hændelser skrives ind i beredskabsplanen med kundens kontaktoplysninger og frist, så de er ved hånden, når der sker noget. Krav om dokumentation lægges ind i årshjulet, så materialet er klar, før kunden beder om det. Med flere kunder vokser listen hurtigt, og et samlet register bliver nødvendigt for at bevare overblikket. Registret viser også, når nye krav ligner eksisterende, så I kan svare ens og genbruge arbejdet. Ledelsens opgaver, når en hændelse rammer, findes på temasiden om beredskab.
Det skal I lade være med
- At underskrive og tage sikkerheden bagefter · når kontrakten er underskrevet, er kravene jeres forpligtelse.
- At overse henvisninger til kundens politikker · bed om at få dem udleveret, og læs dem, før I skriver under.
- At lade advokaten vurdere de tekniske krav alene · juristen kan læse kravet, men ikke vide, om jeres systemer lever op til det.
- At love frister, jeres leverandører ikke kan holde · jeres løfte er aldrig stærkere end det svageste led bag det.
- At glemme kravene efter underskriften · de skal ind i planen og følges op.
Det skal I kræve af den eksterne
- ☐ En skriftlig vurdering af hvert sikkerhedskrav med status og konsekvens.
- ☐ Forslag til forbehold og ændringer, som advokaten kan arbejde videre med.
- ☐ Kobling til jeres egne leverandøraftaler, hvor kravene afhænger af dem.
- ☐ Svartid, der passer til salgsprocessen, så vurderingen ikke bliver en flaskehals.
- ☐ Et register over kontraktlige sikkerhedskrav på tværs af kunder, med frister.
Indfør som det første en regel om, at ingen kontrakt med sikkerhedskrav underskrives uden en faglig vurdering. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Én samling dokumentation til mange kunder · ISO 27001 eller D-mærket: hvad passer til jeres kunder?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
