Et leverandøroverblik er en liste over alle de leverandører, der har adgang til jeres systemer, opbevarer jeres data eller leverer en tjeneste, som forretningen ikke kan undvære. For hver leverandør står, hvad den leverer, hvilken adgang den har, hvor vigtig den er, og hvem i virksomheden der har kontakten. Listen viser, hvilke leverandører sikkerhedsarbejdet skal begynde med, og den er grundlaget for krav og opfølgning. En ekstern CISO kan bygge og vedligeholde listen, men en navngiven person i virksomheden bør eje den.
Hvorfor listen sjældent findes
I mange mindre virksomheder er leverandørerne kommet til én ad gangen. Økonomichefen har valgt lønsystemet, salgschefen CRM-systemet, og en afdelingsleder har taget en projektstyringstjeneste i brug med sit eget kreditkort. Kontrakterne ligger forskellige steder, og ingen har det samlede billede.
Det mærkes, når en kunde spørger, hvilke underleverandører der har adgang til deres data, eller når en leverandør melder om et brud. Uden en liste begynder arbejdet med at finde ud af, hvem der overhovedet bruger tjenesten. Overblikket er derfor første skridt i leverandørstyring på sikkerhed.
Hvad der skal stå på listen
Listen skal være kort nok til at blive brugt og detaljeret nok til at give mening. For hver leverandør bør der stå syv oplysninger.
- Navn og ydelse. Hvad leverandøren leverer, med en kort beskrivelse.
- Adgang. Om leverandøren har fjernadgang, administratorrettigheder eller kun leverer en tjeneste.
- Data. Hvilke typer data leverandøren opbevarer eller behandler, fx kundedata, personaledata eller tegninger.
- Betydning. Hvad der sker, hvis leverandøren er utilgængelig i en dag eller en uge.
- Intern ejer. Hvem i virksomheden der har kontakten og kender aftalen.
- Aftale. Hvor kontrakten ligger, og hvornår den kan opsiges eller skal fornyes.
- Sikkerhedskrav og opfølgning. Om der er stillet krav, og hvornår de sidst blev fulgt op.
Med de oplysninger kan listen sorteres efter betydning. De fem til ti vigtigste leverandører får den mest grundige opfølgning. Resten håndteres med en lettere procedure.
Sådan inddeles leverandørerne
En enkel inddeling i tre grupper gør det lettere at bruge tiden rigtigt.
- Kritiske leverandører. Har bred adgang, opbevarer vigtige data eller leverer en tjeneste, uden hvilken forretningen står stille. Her stilles skrevne krav, og der følges op mindst to gange om året.
- Vigtige leverandører. Har begrænset adgang eller data af middel betydning. Her gennemgås aftalen ved fornyelse, og der stilles enkelte krav.
- Øvrige leverandører. Har ingen adgang og intet følsomt. Her er det nok at kende dem.
Inddelingen skal ses igen, når en leverandør får ny adgang eller leverer en ny tjeneste. Det sker let, fordi tjenester udvides gradvist. Hvordan kravene til de kritiske leverandører formuleres, står i sikkerhedskrav til jeres IT-leverandør.
Inddelingen bør også tage højde for leverandørens egne leverandører. En lille softwareleverandør kan have bred adgang til jeres data gennem en hostingudbyder, I aldrig har talt med. Spørg de kritiske leverandører, hvem de selv bruger til at levere tjenesten, og noter det på listen. Så ved I, hvem der skal med i billedet, hvis noget går galt.
Hvem holder listen ved lige
Listen forælder hurtigt, hvis ingen har ansvaret for den. Det bedste er en fast ejer i virksomheden, ofte økonomichefen eller den, der har indkøbet, og en ekstern CISO, der gennemgår den kvartalsvis og vurderer de nye leverandører.
Tilføjelser kan fanges på to måder. Den ene er, at nye aftaler om IT-tjenester skal forbi listen, før de underskrives. Den anden er en gennemgang af kreditkortudtog og fakturaer en gang om året for at finde tjenester, der er taget i brug uden om den faste procedure. Det sidste afslører ofte et par overraskelser. Et review før en ny leverandør vælges, er beskrevet i sikkerhedsreview før beslutningen.
Forestil jer en arkitektvirksomhed med 30 ansatte. Den første liste rummer ni leverandører. Efter en gennemgang af fakturaerne er der 23, heriblandt to tjenester til fildeling, som medarbejdere har brugt til at sende tegninger til kunder. Begge rummer fortrolige projekter. Den ene udfases, den anden får en ejer og kommer på listen over vigtige leverandører.
Listen og NIS2
Hos NIS2-omfattede virksomheder er forsyningskædesikkerhed en af de foranstaltninger, loven kræver, jf. § 6, stk. 1, nr. 4. Forvaltning af aktiver nævnes også, jf. nr. 9. Et leverandøroverblik er et konkret og enkelt bevis på, at virksomheden kender sin forsyningskæde, og det er et naturligt bilag, når ledelsesorganet skal godkende foranstaltningerne. Hvordan ledelsen styrer kravene til egne leverandører, er uddybet i forsyningskæden i NIS2 set fra ledelsen.
Overblikket kan også bruges til at vurdere, hvor afhængig virksomheden er af den enkelte leverandør, og hvad et skifte vil kræve. Den del er gennemgået trin for trin i en vejledning om at kortlægge systemer, data og leverandører med henblik på exit.
Det skal I lade være med
- At starte med et stort værktøj. Et regneark er nok i de fleste mindre virksomheder.
- At liste alle leverandører med samme detaljegrad. Tiden skal bruges på de kritiske.
- At lade IT-leverandøren eje listen alene. Den kender sjældent de tjenester, andre afdelinger har valgt.
- At glemme tjenester betalt med kreditkort. Det er ofte dem, der rummer overraskelserne.
- At lave listen én gang. Uden vedligehold er den forældet inden for et år.
Det skal I kræve af den eksterne
En ekstern CISO bør kunne vurdere jeres leverandører uden at have interesse i, hvilke af dem I beholder. Spørg derfor, om rådgiveren har aftaler med nogen af leverandørerne eller anbefaler bestemte alternativer mod betaling.
- ☐ En første liste med de syv oplysninger.
- ☐ Inddeling i kritiske, vigtige og øvrige leverandører.
- ☐ En intern ejer af listen.
- ☐ En procedure for nye tjenester, før aftalen underskrives.
- ☐ Kvartalsvis gennemgang og årlig kontrol af fakturaer.
- ☐ Listen gemt hos jer.
Kom i gang
Bed økonomiafdelingen om en udskrift af alle leverandører, der har fået betaling for IT-tjenester det seneste år. Sæt de syv oplysninger på for de ti største. Det tager et par timer og giver et overblik, der kan bruges med det samme.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed og nr. 9 om forvaltning af aktiver.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem har ansvaret, når driften er outsourcet? · Opfølgning på leverandøren
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
