Når en kunde varsler et kontrolbesøg om IT-sikkerhed, er den vigtigste forberedelse at sammenligne det, I tidligere har svaret kunden, med det, kunden vil se på stedet. Besøget er en kontrol af jeres løfter. Ledelsen skal beslutte, hvem der tager imod, hvad der vises, og hvad der ikke deles, og den skal have læst de gamle svar igennem, før kunden kommer. Med to til fire ugers varsel kan det meste nås, hvis arbejdet fordeles fra dag ét.
Hvorfor kunder kommer på besøg
Kunder, der selv er omfattet af NIS2-loven, skal efter § 6, stk. 1, nr. 4, tage højde for forsyningskædesikkerhed, herunder forholdet til deres direkte leverandører. Et spørgeskema er den almindelige måde at følge op på. Et besøg kommer typisk, når kunden er afhængig af jer, når et svar har vakt tvivl, eller når kontrakten giver kunden ret til at kontrollere. Hvordan den ret ofte er formuleret, står i kundekrav i kontrakten.
I behøver ikke gætte på, hvad kunden vil se. Bed om en dagsorden, en liste over de emner, kunden vil se, og navnene på dem, der kommer. Det er en rimelig forespørgsel, og svaret gør forberedelsen langt lettere.
Læs jeres egne svar først
Det første, der skal ske, er at finde alt, hvad I har skrevet til kunden om sikkerhed: udfyldte spørgeskemaer, bilag til kontrakten, mails om konkrete spørgsmål og eventuelle certifikater. Læg det hele i én mappe.
Gå derefter svarene igennem ét for ét og spørg, om det stadig passer. Står der, at alle konti har flerfaktor-login, skal det passe på dagen. Står der, at backup testes hvert kvartal, skal der ligge en log over testene. Er noget ændret, så fortæl kunden om det inden besøget; en ændring, I selv melder, tåler tilliden bedre end en, kunden finder. Hvordan svarene holdes ens over for flere kunder, står i samme dokumentation til flere kunder.
Hvem tager imod
Ledelsen udpeger en vært, som har ansvaret for besøget fra start til slut. Det er ofte den, der leder sikkerhedsarbejdet, med direktøren til stede ved åbning og afslutning. Den interne IT-ansvarlige og, hvis det er relevant, en person fra IT-leverandøren er med i de dele, der handler om drift.
Fordel rollerne på forhånd:
- Værten fører ordet, holder tiden og noterer, hvad kunden beder om.
- Direktøren viser, at ledelsen står bag, og svarer på spørgsmål om prioritering og ansvar.
- Fagpersonerne svarer på tekniske spørgsmål inden for deres område og siger det, når de ikke ved noget.
- Leverandøren viser sin del, men taler ikke på jeres vegne om jeres beslutninger.
Aftal også, hvem der må love noget. Ingen deltager giver tilsagn om ændringer, før ledelsen har taget stilling.
Sæt tid af i kalenderen til forberedelsen. Et besøg på en dag kræver typisk flere dages arbejde fordelt på værten, IT-ansvarlige og leverandøren, og det arbejde konkurrerer med den daglige drift. Når ledelsen på forhånd har afsat timerne og sagt, hvad der kan vente, undgår I, at forberedelsen bliver presset ind i aftenerne ugen før. Det er også en god anledning til at holde et kort formøde dagen før, hvor alle deltagere gennemgår dagsordenen og rollerne.
Hvad der vises, og hvad der ikke deles
Kunden har krav på at se, at jeres løfter holder, men næppe på at se alt. Ledelsen bør på forhånd beslutte, hvad der kan vises på skærmen og på papir, og hvad der kun kan omtales.
Typisk kan I vise politikker, risikovurderingens hovedtræk, referater fra ledelsens godkendelse, leverandøroverblik og dokumentation for backuptest og adgangsgennemgang. Detaljer om sårbarheder, der ikke er lukket, oplysninger om andre kunder og personoplysninger om medarbejdere holdes ude. Skal kunden se noget fortroligt, kan det ske på stedet uden kopi. Hvilke dokumenter der hører til i sikkerhedsarbejdet, står i hierarkiet af sikkerhedsdokumenter.
Rundgangen
Mange kunder vil se bygningen: serverrum, netværksrum, kontoret og eventuelt produktionen. Gå selv runden et par dage før. Er serverrummet låst? Står der en liste over, hvem der har adgang? Ligger der adgangskoder på en seddel ved en skærm? Det er småting, der fylder meget i kundens indtryk, og de kan rettes på en eftermiddag.
Efter besøget
Bed kunden om en skriftlig opsummering af fund og forventninger. Gå den igennem i ledelsen, og fastlæg for hvert fund, om det rettes, hvornår, og af hvem. Send kunden en kort plan inden for den frist, I aftaler. Læg fundene ind i jeres egen plan og jeres kravregister, så de bliver fulgt op sammen med resten. Saml til sidst de deltagende til en kort evaluering: Hvad spurgte kunden om, som I ikke havde forudset, og hvad skal forberedes anderledes, når den næste kunde ringer? Notatet fra evalueringen gør det næste besøg lettere.
Det skal I lade være med
- At pynte på svarene til lejligheden. Kunden sammenligner med det, I har skrevet, og med det, de ser.
- At lade leverandøren tale for jer. Ansvaret over for kunden ligger hos jer.
- At give tilsagn under besøget. Lad ledelsen beslutte bagefter.
- At vise alt, fordi kunden spørger. Afgræns på forhånd, hvad der deles.
- At glemme opfølgningen. En plan, der ikke bliver sendt, svækker tilliden mere end selve fundene.
Det skal I kræve af den eksterne
- ☐ En gennemgang af alle tidligere svar til kunden med en liste over det, der ikke længere passer.
- ☐ En dagsorden og en rollefordeling til besøget, godkendt af ledelsen.
- ☐ En liste over, hvad der kan vises, hvad der kun omtales, og hvad der holdes ude.
- ☐ En rundgang på stedet et par dage før kunden kommer.
- ☐ Et udkast til planen for kundens fund, med ejer og dato for hvert punkt.
Sådan kommer I i gang
Find de seneste svar, I har givet kunden, og læs dem samme dag, som besøget bliver varslet. Det viser hurtigt, hvor arbejdet ligger. Hvordan kundekrav i det hele taget håndteres og får en ejer, står under når kunderne stiller sikkerhedskrav.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed og forholdet til direkte leverandører.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kundekrav i kontrakten · Kunden kræver ISO 27001 med frist
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
