Når kunderne stiller sikkerhedskrav
Kundernes sikkerhedskrav kommer oftest som et spørgeskema, et kontraktbilag eller et ønske om dokumentation for, at virksomheden arbejder efter en anerkendt standard. Hvert svar er et løfte, som kunden kan holde jer op på. Derfor skal en bestemt person i virksomheden eje svarene, vide, hvad de bygger på, og holde dem ens fra kunde til kunde. I virksomheder uden egen sikkerhedsfunktion er netop det en af de mest konkrete opgaver for en ekstern CISO.
Hvordan kravene kommer ind ad døren
Kravene ankommer sjældent samlet. Et salgsteam får et spørgeskema med 80 spørgsmål midt i en tilbudsrunde. En indkøbsafdeling sender et udkast til kontrakt med et bilag om informationssikkerhed. En eksisterende kunde varsler, at alle leverandører fremover skal kunne fremvise et certifikat eller en revisorerklæring. Og nogle kunder beder om ret til at besøge jer og kontrollere, at kravene overholdes.
Fælles for dem er, at de lander hos forskellige personer, ofte med kort frist. Uden en ejer bliver svarene skrevet af den, der har tid, og to kunder kan få to forskellige beskrivelser af den samme virksomhed.
Hvem der ejer svarene
Ejeren af svarene skal kunne tre ting: forstå spørgsmålet, vide, hvordan det faktisk forholder sig i virksomheden, og vurdere, om et krav kan opfyldes, før nogen skriver under. Det kræver adgang til både ledelsen, IT-leverandøren og de interne processer.
En ekstern CISO kan påtage sig rollen som ejer af svarene og samarbejde med salg og ledelse om, hvad der kan loves. Hvor svaret afslører en mangel, bliver det til et punkt i planen frem for en pyntet formulering. Når et kontraktkrav ikke kan opfyldes som skrevet, kan CISO’en foreslå et forbehold eller en tidsplan, som virksomheden kan stå inde for.
ISO 27001 og D-mærket
To former for dokumentation går igen i danske kunders krav.
- ISO/IEC 27001 · den internationale standard for et ledelsessystem for informationssikkerhed. Virksomheden kan vælge at blive certificeret af et akkrediteret certificeringsorgan eller at arbejde efter standarden uden certifikat.
- D-mærket · en dansk mærkningsordning for IT-sikkerhed og ansvarlig databrug, hvor kriterierne tilpasses virksomhedens størrelse og risiko.
Valget afhænger af, hvem kunderne er, og hvad de spørger efter. En kunde, der kræver et ISO-certifikat, kan sjældent nøjes med et mærke. En kunde, der vil se et seriøst og dokumenteret arbejde, kan ofte nøjes med mindre end en certificering. Det første skridt er derfor at læse kravene præcist og spørge kunden, hvis teksten er uklar. Arbejdet med standarden hænger tæt sammen med risikovurderingen og strategien.
Ét grundlag til mange kunder
Den mest effektive måde at svare på er at have et fast sæt dokumentation, som holdes opdateret og bruges igen. Det omfatter typisk en sikkerhedspolitik, en beskrivelse af organiseringen, en oversigt over de vigtigste leverandører, en beredskabsplan og en kort status på de vigtigste kontroller. Nye spørgeskemaer besvares så ud fra det samme grundlag, og forskelle mellem svarene bliver synlige. Meget af det samme materiale kan bruges, når forsikringsselskabet stiller sine spørgsmål, se cyberforsikring.
Grundlaget hænger sammen med leverandørstyringen, fordi kunderne ofte spørger, hvordan I selv stiller krav til jeres leverandører. Når kunderne spørger om test af sikkerheden og om, hvordan en NIS2-omfattet kunde læser underleverandørens dokumentation, er det gennemgået på nis2-pentest.dk.
Når kunden er omfattet af NIS2
NIS2-loven kræver, at omfattede virksomheder håndterer sikkerheden i forsyningskæden, herunder forholdet til deres direkte leverandører. Kravene til jer som leverandør kan derfor blive skarpere, når kunden selv skal kunne vise sin myndighed, at leverandørerne er vurderet. Det gør det vigtigere, at svarene er rigtige, og at ledelsen kender dem. Om jeres egen virksomhed også er omfattet, er beskrevet under NIS2 og ledelsens ansvar.
Artikler om kundekrav og standarder
- Kunden har sendt et sikkerhedsspørgeskema: hvem svarer? Ejerskab og ensartede svar på tværs af kunder.
- Sikkerhedskrav i kundekontrakten: læs dem, før I skriver under Hvem der vurderer kravene, og hvordan forbehold formuleres.
- ISO 27001: skal en mindre virksomhed certificeres? Certifikat eller arbejde efter standarden.
- D-mærket som dokumentation over for kunder Hvad mærket dækker, og hvornår det svarer på kundens spørgsmål.
- ISO 27001 eller D-mærket: hvad passer til jeres kunder? Valget ud fra kundekreds, størrelse og ambition.
- Én samling dokumentation til mange kunder Et fælles grundlag, der holdes opdateret.
Det skal I lade være med
- At lade sælgeren svare alene · et ja i et spørgeskema kan blive til en forpligtelse i kontrakten.
- At kopiere svar fra et ældre skema · virksomheden kan have ændret sig siden.
- At love en certificering på en dato, I ikke har planlagt · kunden noterer datoen.
Det skal I kræve af den eksterne
- ☐ Én samlet mappe med dokumentation, som virksomheden ejer.
- ☐ En vurdering af hvert kontraktkrav, før der skrives under.
- ☐ Svar, der beskriver det, der er gjort, og planen for resten.
- ☐ Et register over de svar og løfter, de enkelte kunder har modtaget.
Kilder
- D-mærket: mærkningsordningen og dens kriterier.
- ISO/IEC 27001 hos ISO: standarden for ledelsessystemer for informationssikkerhed.
- NIS2-loven: forsyningskæden er nævnt i § 6, stk. 1, nr. 4.
Senest gennemgået: november 2026.
Flere artikler om kundekrav
- Anvendelseserklæringen (SoA): ledelsens overblik over valgte kontroller
- Sikkerhedsledelse, når klienternes fortrolighed er forretningen
- Kunden kræver ISO 27001 inden for en frist: sådan lægger ledelsen planen
Næste skridt
Læs også: Én samling dokumentation til mange kunder · Leverandørstyring på sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
