Når jeres IT-leverandør bliver ramt af et angreb, skal jeres egen ledelse træffe tre beslutninger hurtigt: om forbindelserne til leverandøren skal afbrydes, hvilke oplysninger I kræver at få, og om hændelsen er så alvorlig for jer, at den skal underrettes. Den sidste beslutning kan I ikke overlade til leverandøren. Det fremgår af Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning, at ansvaret for en rettidig underretning altid påhviler den NIS2-omfattede virksomhed, også når driften er outsourcet. Leverandørens angreb bliver dermed en sag på jeres eget ledelsesbord.
Beskeden kommer udefra
En hændelse hos leverandøren adskiller sig fra en hændelse hos jer selv på ét punkt. I ser den ikke selv. Beskeden kommer fra leverandøren, fra en kunde, der undrer sig over en mail, som ser ud til at komme fra jer, eller fra en nyhed om, at leverandøren er ramt.
Det første spørgsmål er derfor, om I overhovedet får besked, og hvor hurtigt. Efter NIS2-lovens § 13, stk. 1, regnes fristerne for underretning fra det tidspunkt, hvor virksomheden har fået kendskab til den væsentlige hændelse. SAMSIK-vejledningen nævner udtrykkeligt, at en hændelse kan blive bragt til virksomhedens opmærksomhed af en tredjepart, og at virksomheden så rettidigt skal vurdere, om den er væsentlig. En hurtig besked fra leverandøren giver jer tid til at gøre det ordentligt. En sen besked æder af tiden.
Afbryde eller vente
Leverandøren har typisk fjernadgang til jeres servere, administrerer jeres brugerkonti og har måske adgang til backup. Er leverandørens egne systemer kompromitteret, kan angriberen bruge de samme veje ind hos jer.
Ledelsen skal derfor tage stilling til, om forbindelserne skal lukkes, selv om det betyder, at ingen kan hjælpe jer med driften i en periode. Beslutningen kræver svar på nogle få spørgsmål:
- Hvilke adgange har leverandøren til jeres systemer, og hvilke af dem kan være berørt?
- Kan I lukke adgangene selv, eller er det leverandøren, der har nøglerne?
- Hvad sker der med driften, hvis adgangene er lukket i et døgn?
- Hvem hos jer kan følge op på logs og tegn på aktivitet?
Svarene på de to første bør findes i et opdateret leverandøroverblik, før noget sker. Forestil jer produktionsvirksomheden med 40 ansatte, hvor tre leverandører deler opgaverne. Driftsleverandøren er ramt, men ERP-leverandøren og maskinleverandøren er det ikke. Overblikket viser, at driftsleverandøren administrerer den fælles identitetsløsning, som også de to andre bruger. Det ændrer vurderingen, fordi en afbrydelse kun af driftsleverandørens fjernadgang ikke lukker den vej.
Det, I skal have at vide
Leverandøren har travlt, og den har mange kunder at orientere. Jeres krav til information skal derfor være præcise. Ledelsen bør bede om:
- hvornår angrebet blev opdaget hos leverandøren, og hvor langt tilbage det ser ud til at gå
- om angriberen har haft adgang til noget, der tilhører jer: servere, brugere, backup eller filer
- hvilke indgreb leverandøren allerede har foretaget, og hvilke skridt I bør tage på jeres side
- om leverandøren har underrettet myndigheder eller anmeldt hændelsen til politiet
- hvornår næste opdatering kommer, og hvem I kan ringe til
Skriv svarene ind i jeres egen log med tidspunkt. Det er grundlaget for jeres vurdering og senere for en eventuel rapport. Hvordan sagen ser ud fra leverandørens side, når mange kunder skal orienteres på én gang, er beskrevet på nis2-pentest.dk.
Jeres egen vurdering af underretningen
Er jeres virksomhed omfattet af NIS2-loven, skal I vurdere, om hændelsen er væsentlig for jer efter § 12, stk. 2. Kriterierne handler om, hvorvidt hændelsen giver eller kan give jer alvorlige forstyrrelser af driften eller økonomiske tab, og om den rammer eller kan ramme andre med betydelig skade til følge. Leverandøren kan ikke svare på det, fordi den ikke kender jeres forretning.
SAMSIK-vejledningens kapitel 2 åbner for, at virksomheden aftaler, at den, der drifter systemerne, foretager underretningen på virksomhedens vegne. Ansvaret for, at underretningen sker rettidigt, bliver dog hos virksomheden. Har I en sådan aftale, skal jeres ledelse stadig selv beslutte, at der skal underrettes, og kontrollere, at det er sket. Hvem i ledelsen der træffer den beslutning, er emnet for Er hændelsen væsentlig?.
Er I ikke selv omfattet, men leverandør til en NIS2-virksomhed, kan jeres kunder have brug for besked fra jer. Så bliver leverandørens hændelse også en sag om jeres egne aftaler med kunderne.
Det, aftalen og planen skal sige
Det meste af det, der går galt, når leverandøren er ramt, kunne have været aftalt på forhånd. Leverandøraftalen bør indeholde en frist for, hvornår leverandøren giver jer besked om hændelser, der kan berøre jer, et kontaktpunkt uden for arbejdstid og en pligt til at dele de oplysninger, I skal bruge til jeres egen vurdering. Den bør også sige, om leverandøren underretter på jeres vegne, og i så fald hvordan I godkender underretningen. Hvordan kravene formuleres, står i Sikkerhedskrav til IT-leverandøren, og ansvarsfordelingen i det hele taget i Hvem har ansvaret for sikkerheden?.
Beredskabsplanen bør have et scenarie, hvor leverandøren er ramt. Hvem hos jer kan lukke adgange, hvis leverandøren ikke kan? Hvem kontakter leverandøren, og hvem tager imod oplysningerne? Er der en anden, der kan hjælpe med driften, mens leverandøren er optaget af sit eget? Svarene hører til i ledelsens del af planen. En rådgiver uden partneraftaler med IT-leverandører kan gennemgå aftalen alene ud fra jeres behov.
Det skal I lade være med
- At vente på, at leverandøren selv fortæller, om I er berørt · spørg med det samme.
- At antage, at leverandøren underretter for jer · ansvaret bliver hos jer, også med en aftale.
- At lukke én adgang og glemme de fælles · identitetsløsninger og fjernværktøjer bruges ofte af flere.
- At lade leverandørens vurdering stå som jeres · den kender ikke jeres forretning.
- At glemme jeres egne kunder · de kan have krav om besked fra jer.
Det skal I kræve af den eksterne
- ☐ Et leverandøroverblik, der viser hver leverandørs adgange, og hvem der kan lukke dem.
- ☐ Forslag til aftaletekst om besked, kontaktpunkt og informationspligt.
- ☐ Et scenarie om en ramt leverandør i beredskabsplanen og i den næste øvelse.
- ☐ En spørgeliste til leverandøren, der kan bruges i den første time.
- ☐ Hjælp til jeres egen vurdering af, om hændelsen skal underrettes.
Næste skridt er at finde aftalen med jeres driftsleverandør og læse, hvad den lover om varsling og kontakt, den dag angrebet rammer leverandøren selv.
Kilder
- Styrelsen for Samfundssikkerhed: Vejledning om hændelsesunderretning, juni 2025 (samsik.dk): kapitel 2 om outsourcet drift og kapitel 4 om vurderingen af hændelser, der bringes til virksomhedens opmærksomhed af tredjepart.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12, stk. 2, om væsentlige hændelser og § 13, stk. 1, om fristerne.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgning på IT-leverandøren · Beredskabsplan: ledelsens del af planen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
