Opkøbt virksomhed: hvornår kommer den ind under jeres sikkerhedsstyring?

Den købte virksomhed bør komme ind under købers sikkerhedsstyring i to trin. Fra overtagelsesdagen gælder et lille sæt minimumsregler, en fælles linje for hændelser og en fælles rapportering til den samlede ledelse. Den fulde sikkerhedspolitik, risikovurderingen og leverandørkravene følger efter en aftalt overgangsperiode med en fast slutdato. Undervejs skal ledelsen afklare, hvad opkøbet betyder for NIS2-status i hvert selskab, fordi pligterne efter loven følger den enkelte enhed. Artiklen handler om tiden efter overtagelsen. Hvem der leder selve IT-integrationen, er behandlet i IT-ledelse efter et opkøb.

Hvorfor sikkerheden har sin egen tidsplan

IT-integrationen handler om systemer, der skal lægges sammen eller leve videre. Sikkerhedsstyringen handler om noget andet, nemlig hvilke regler der gælder, hvem der ejer risiciene, og hvad ledelsen får at vide. De to tidsplaner hænger sammen, men de er ikke ens. Et datterselskab kan beholde sit eget økonomisystem i årevis og alligevel være fuldt omfattet af koncernens politik fra første kvartal.

Holdes sikkerheden ude af integrationsplanen, sker der ofte det, at den købte virksomhed lever videre med sine gamle vaner, fordi ingen har sagt, hvornår de nye regler gælder. Derfor bør sikkerhedsstyringen have sin egen korte plan med datoer, som direktionen godkender.

Minimumsregler fra første dag

Ingen virksomhed kan overtage en fuld politik på én dag. Et lille sæt regler kan til gengæld gælde med det samme, fordi de beskytter mod de mest sandsynlige skader i en periode med mange ændringer:

1. Hændelser meldes til ét sted. Medarbejdere og leverandører i den købte virksomhed får at vide, hvem de kontakter i koncernen, også uden for arbejdstid.
2. Administratoradgange er kendt. Der findes en liste over alle konti med fulde rettigheder, og nye oprettes kun efter aftale.
3. Betalinger følger koncernens godkendelsesregler. Ejerskifter tiltrækker falske betalingsanmodninger, der udgiver sig for at komme fra den nye ejer.
4. Ingen nye leverandøraftaler med adgang til systemer uden et kort sikkerhedsreview.

Reglerne kan stå på én side. De skal godkendes af ledelsen og sendes ud med direktionen som afsender. Giv samtidig den købte virksomheds medarbejdere en kontaktperson, de kan spørge, hvis en regel er svær at efterleve i praksis.

NIS2-status for hvert selskab

NIS2-loven gælder for enheder. Hvert selskab med eget CVR-nummer skal derfor vurderes for sig, og hvert af dem har sit eget ledelsesorgan, som efter § 7 skal godkende foranstaltningerne og holde øje med, at de gennemføres. Bruger datterselskabet koncernens politik, skal datterselskabets egen ledelse stadig tage stilling til den.

Opkøbet kan også ændre størrelsen. Efter direktivets art. 2 bruges definitionerne i Kommissionens henstilling 2003/361/EF, og her lægges data for tilknyttede virksomheder som udgangspunkt sammen med virksomhedens egne. En købt virksomhed, der før lå under grænserne, kan derfor efter handlen blive vurderet ud fra koncernens samlede antal ansatte og økonomi. Hvordan vurderingen af væsentlige og vigtige enheder foretages, er gennemgået under væsentlige og vigtige enheder.

Bliver et selskab omfattet, skal det registrere sig senest to uger efter, jf. lovens § 10, stk. 2, og ændringer i oplysningerne skal meldes inden for samme frist, jf. stk. 3. Hvad der følger af registreringen, står i tiden efter registreringen.

Overgangsperioden

Overgangsperioden er den tid, den købte virksomhed har til at leve op til den fulde politik. Den bør være så kort, som virksomhedens størrelse tillader, og den skal have en slutdato. Inden for perioden er der tre opgaver.

Den første er at lægge den købte virksomheds risici ind i koncernens risikoliste med ejere og frister. Den anden er at føre dens leverandører ind i det fælles leverandøroverblik, så aftalerne kan få de samme sikkerhedskrav. Den tredje er at gennemgå de løfter om sikkerhed, den købte virksomhed har givet sine egne kunder i kontrakter og spørgeskemaer. Løfterne følger med selskabet, og nogen i koncernen skal nu stå inde for dem.

Hvor den købte virksomheds egne regler er strengere end koncernens, bør de ikke uden videre sænkes. Forskellen bør i stedet forelægges ledelsen, der beslutter, hvad der skal gælde fremover.

Rapporteringen til den samlede ledelse

Fra første rapport efter overtagelsen bør den samlede ledelse se den købte virksomhed som et særskilt afsnit. Afsnittet viser, hvor langt overgangen er, hvilke risici der er fundet, og hvilke beslutninger der venter. Når overgangen er færdig, kan afsnittet glide ind i den almindelige rapport. Formen er beskrevet i rapporten til bestyrelsen.

Et tænkt forløb viser det. En maskinfabrik med 120 ansatte køber en underleverandør med 25 ansatte og egen IT-leverandør. Minimumsreglerne gælder fra overtagelsesdagen. Efter fire måneder er underleverandørens risici i koncernens liste, to af dens tre IT-aftaler har fået koncernens sikkerhedskrav, og datterselskabets bestyrelse har godkendt koncernens politik på sit første møde. Den sidste aftale udløber om et halvt år og bliver først ændret dér, hvilket ledelsen har accepteret som en tidsbegrænset risiko.

Det skal I lade være med

• At vente med sikkerheden, til IT-integrationen er færdig · reglerne kan gælde længe før systemerne er lagt sammen.
• At gå ud fra, at koncernens NIS2-status dækker datterselskabet · hvert selskab vurderes for sig.
• At sænke strengere regler i den købte virksomhed uden en beslutning · forskellen skal forelægges ledelsen.
• At overse de løfter, den købte virksomhed har givet sine kunder · de gælder stadig.
• At lade overgangsperioden stå åben · en periode uden slutdato bliver til en undtagelse.

Det skal I kræve af den eksterne

• ☐ En side med minimumsregler, klar til ledelsens godkendelse inden overtagelsesdagen.
• ☐ Et oplæg om NIS2-status for hvert selskab med henvisning til lovens bestemmelser.
• ☐ En plan for overgangsperioden med opgaver, ejere og slutdato.
• ☐ Et særskilt afsnit om den købte virksomhed i rapporten til ledelsen.
• ☐ En liste over de sikkerhedsløfter, den købte virksomhed har givet sine kunder.

Den første uge efter overtagelsen

Godkend minimumsreglerne, udpeg en kontaktperson i den købte virksomhed, og sæt en dato for, hvornår den fulde politik skal gælde. Ledelsens øvrige pligter efter NIS2 er samlet under NIS2 og ledelsens ansvar. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kilder

• Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 4 og § 5 om størrelseskriterier, § 7 om ledelsesorganets godkendelse og tilsyn og § 10 om registrering og ændringer.
• Kommissionens henstilling 2003/361/EF (eur-lex): bilagets art. 3 og 6 om tilknyttede virksomheder og sammenlægning af data.
• Direktiv (EU) 2022/2555 (eur-lex): art. 2, stk. 1, om anvendelsesområdet og henvisningen til henstillingen.

Senest gennemgået: november 2026.

Næste skridt

• Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under?
• Risikovurdering, som ledelsen kan træffe beslutninger på

Læs også: Ny ejer med krav om sikkerhedsrapportering · Hvem er ledelsesorganet efter NIS2-loven?

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT