Leverandørstyring på sikkerhed

Når driften er lagt ud, følger arbejdet med til leverandøren, mens ansvaret for, at sikkerheden er god nok, bliver i virksomheden. Leverandørstyring på sikkerhed er den disciplin, der binder de to sammen: krav i aftalerne, en liste over leverandørernes adgange og en fast opfølgning på, om kravene bliver holdt. En ekstern CISO varetager den på virksomhedens vegne og giver leverandørerne én modpart, der ved, hvad der skal spørges om.

Ansvaret bliver hjemme

De fleste mindre virksomheder har en driftsleverandør, en eller flere skytjenester og en række specialiserede systemer, hver med sin egen leverandør. Hver af dem leverer det, der står i aftalen, og ofte er det præcist der, hullerne opstår. Backup kan være aftalt for serverne, mens filerne i en skytjeneste ikke er nævnt. Opdateringer kan være leverandørens opgave på styresystemet, men ikke på det fagsystem, som en anden leverandør har installeret.

Ansvarsfordelingen bør derfor tegnes op for hvert område: hvem gør det, hvem kontrollerer det, og hvem skal underrettes, hvis det går galt. Den slags oversigt er grundlaget for alt det, der følger.

Sikkerhedskrav i aftalen

En aftale med en IT-leverandør bør beskrive, hvad leverandøren gør for sikkerheden, og hvordan virksomheden kan se, at det sker. Typiske emner er:

• adgangsstyring og brug af multifaktorautentificering for leverandørens egne medarbejdere
• opdatering af systemer og frister for kritiske rettelser
• backup, gendannelse og test af gendannelsen
• underretning ved sikkerhedshændelser og tidsfrister for den
• brug af underleverandører og placering af data
• rapportering og ret til at stille opfølgende spørgsmål

Kravene skal passe til risikoen. Et lønsystem med persondata om alle ansatte fortjener andre krav end en tjeneste til mødebooking. Prioriteringen hentes fra risikovurderingen.

Overblik over leverandørerne

Et leverandøroverblik viser, hvilke leverandører der har adgang til virksomhedens data og systemer, hvad de har adgang til, hvilken aftale der gælder, og hvem i virksomheden der er kontaktperson. Det lyder enkelt, men listen er sjældent komplet første gang, fordi abonnementer købes i afdelingerne og forsvinder af syne. Overblikket bør gennemgås mindst en gang om året og ved hver ny aftale.

Fast opfølgning

Opfølgning sker bedst i en fast rytme, hvor leverandøren ved, hvad der bliver spurgt om. Et kvartalsmøde om sikkerhed kan gennemgå hændelser siden sidst, status på opdateringer, resultatet af den seneste gendannelsestest og ændringer i leverandørens egne underleverandører. Svar som “det har vi styr på” uden dokumentation bør føre til et opfølgende spørgsmål. Resultaterne indgår i rapporteringen til bestyrelsen.

Når leverandøren også vil være CISO

Nogle driftsleverandører tilbyder at påtage sig sikkerhedsansvaret. Det kan virke praktisk, men den samme virksomhed vil så både levere driften og vurdere, om den er god nok. Leverandøren kan med rette eje meget af det tekniske arbejde. Vurderingen af, om leverandøren gør det godt nok, bør ligge hos en, der arbejder for kunden. Spørgsmålet er uddybet i artiklen om, hvorvidt IT-leverandøren kan være jeres CISO.

Afhængighed og exit

Sikkerhedskrav handler om, hvordan leverandøren passer på jeres data i dag. Et andet spørgsmål er, hvor afhængige I er af leverandøren, hvilken lovgivning den er underlagt, og hvad det vil kræve at skifte. Det spørgsmål er gennemgået på digital-suveraenitet.dk, der beskriver en exit-plan trin for trin.

For NIS2-omfattede virksomheder er sikkerheden i forsyningskæden et af de emner, foranstaltningerne skal dække, se NIS2 og ledelsens ansvar. Er det jer, der er leverandøren, ligger kravene fra jeres egne kunder under kundekrav.

Artikler om leverandørstyring

• Kan IT-leverandøren være vores CISO? Interessekonflikten, og hvad leverandøren med rette kan eje.
• Sikkerhedskrav til jeres IT-leverandør: hvad skal stå i aftalen? De krav, ledelsen bør kunne pege på.
• Hvem har ansvaret, når driften er outsourcet? Ansvarsfordelingen tegnet op.
• Overblik over leverandører med adgang til jeres data og systemer Hvilke leverandører der betyder mest, og hvem der holder listen.
• Opfølgning på leverandøren: møder, rapporter og spørgsmål Indholdet af et opfølgningsmøde om sikkerhed.
• Forsyningskæden i NIS2 set fra ledelsen Kravene til egne leverandører.
• Ny leverandør eller nyt system: sikkerhedsreview før beslutningen Spørgsmålene før underskrift.

Det skal I lade være med

• At antage, at sikkerhed er inkluderet · det, der ikke står i aftalen, kan ikke forventes leveret.
• At acceptere rapporter uden spørgsmål · en grøn statusside fortæller ikke, hvad der er testet.
• At købe nye tjenester uden for overblikket · hver ny tjeneste er en ny leverandør med adgang.

Det skal I kræve af den eksterne

• ☐ En ansvarsfordeling for hver af de vigtigste leverandører.
• ☐ Et forslag til sikkerhedskrav, der kan skrives ind ved næste genforhandling.
• ☐ En fast mødeplan med leverandørerne og referater, som virksomheden opbevarer.
• ☐ Et review, før nye leverandører eller systemer tages i brug.

Kilder

• NIS2-loven: § 6, stk. 1, nr. 4. Bestemmelsen nævner sikkerhedsaspekterne i relationen til de direkte leverandører.

Senest gennemgået: november 2026.

Flere artikler om leverandører

• Når en medarbejder stopper: adgange, udstyr og viden
• Bygge- og anlægsvirksomheder: sikkerhedsledelse i projekter med mange parter
• Sikkerhedsledelse i webshoppen: kundedata, betaling og platformen
• Når CISO og IT-leverandøren er uenige: hvem afgør det?

Næste skridt

• Sikkerhedskrav til jeres IT-leverandør
• Hvem har ansvaret, når driften er outsourcet?

Læs også: Kan IT-leverandøren være vores CISO? · Risikovurdering og sikkerhedsstrategi

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT