Ledelsen skal fastsætte, at sikkerhed er et krav fra første dag i ethvert indkøb og projekt, og den skal udpege en ejer for hvert system, der har ansvaret for opdateringer og sårbarheder, så længe systemet er i brug. Kravet gælder hele systemets levetid, fra valget af løsning til den dag, data slettes og udstyret bortskaffes. Den tekniske gennemførelse ligger hos IT og leverandørerne. Ledelsen beslutter rammen og vil vide, om den bliver fulgt.
Lovens fjerde og femte nummer hænger sammen
Efter § 6, stk. 1, nr. 5, i NIS2-loven skal foranstaltningerne omfatte sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder. Bestemmelsen ligger lige efter kravet om forsyningskædesikkerhed i nr. 4, og de to bør læses sammen. Det ene handler om leverandørerne, det andet om de systemer, de leverer. Ledelsens del af forsyningskæden er beskrevet i Forsyningskæden i NIS2 set fra ledelsen. Godkendelsen og tilsynet ligger efter § 7, stk. 1, hos ledelsesorganet.
SAMSIK skriver i sin implementeringsvejledning, at der skal være dokumenterede procedurer for sikkerhed ved anskaffelse, udvikling, vedligeholdelse og afvikling, og at procedurerne skal bygge på politikken for informationssikkerhed. Den skal også have en procedure for at modtage oplysninger om sårbarheder, vurdere hvor udsat den er, og handle på det.
Krav, der skal stå i ethvert indkøb
Den nemmeste måde at få sikkerhed med i indkøb er at give dem en fast plads i beslutningsgangen. Før et nyt system eller en ny tjeneste besluttes, skal der foreligge svar på nogle få spørgsmål:
- Hvilke data skal systemet rumme, og hvor følsomme er de?
- Lover leverandøren sikkerhedsopdateringer i hele den forventede levetid, og står det i aftalen?
- Hvordan logger brugere og administratorer ind, og kan løsningen kræve multifaktorautentificering?
- Hvem hos jer bliver systemejer, og hvem hos leverandøren er kontakt ved sårbarheder?
- Hvordan kommer I ud igen, og hvad sker der med data, når aftalen ophører?
Spørgsmålene skal stå i den indkøbsprocedure, ledelsen har godkendt. Den grundigere gennemgang af en konkret leverandør er beskrevet under sikkerhedsreview før beslutningen.
SAMSIK’s vejledning nævner også EU’s forordning om cyberrobusthed, forordning (EU) 2024/2847, der gradvist stiller krav til sikkerheden i produkter med digitale elementer frem til december 2027. For virksomheden som køber kan det blive et nyttigt spørgsmål til leverandøren, om produktet er omfattet.
Når virksomheden selv udvikler
Softwarehuset med fem udviklere, der leverer til en kunde med krav om ISO 27001-dokumentation, står et andet sted end produktionsvirksomheden. Her udvikles systemerne internt, og vejledningen peger på, at der bør være regler for sikker udvikling i alle faser fra specifikation og design til test og idriftsættelse. Ledelsens opgave er at beslutte, at reglerne findes, at de er proportionale med risikoen, og at nogen kontrollerer, at de bliver fulgt.
Det kan være så enkelt som et fast punkt i hvert projekt, hvor sikkerheden vurderes før idriftsættelse, og en regel om, at ingen ændring går i drift uden en anden persons godkendelse. Når kunder stiller krav om sikker udvikling, bliver spørgsmålet også et kundekrav. Den vinkel er behandlet på nis2-pentest.dk om krav til sikker udvikling.
Sårbarheder skal have en ejer
En sårbarhed er en svaghed i et system, som en angriber kan udnytte. Meldingerne kommer fra leverandører, fra den nationale CSIRT og fra virksomhedens egne scanninger. I mindre virksomheder findes meldingerne som regel, men ofte er ingen udpeget til at læse dem og beslutte, hvad der skal ske.
Ledelsen bør derfor beslutte:
- Hvem der følger med i meldinger for hvert vigtigt system, internt eller hos leverandøren.
- Hvor hurtigt kritiske sårbarheder skal være rettet, og hvem der må give udsættelse.
- Hvordan en undladelse dokumenteres, når en sårbarhed bevidst ikke rettes. SAMSIK nævner, at begrundelsen skal kunne ses.
- Hvad der sker med systemer, som leverandøren ikke længere opdaterer.
Fristerne for rettelser skal passe til virksomheden og stå i aftalerne med driftsleverandøren. Status hører med i den faste rapport til ledelsen, se Nøgletal for sikkerhed, som ledelsen kan følge.
Offentliggørelse af sårbarheder
Lovteksten nævner også offentliggørelse. SAMSIK beskriver, at virksomheden kan have en politik for koordineret offentliggørelse af sårbarheder i egne systemer, og at ukendte sårbarheder bør videregives til CSIRT, hvor det er relevant. For en virksomhed, der leverer software til andre, er det en beslutning om, hvordan eksterne kan melde fejl, og hvem der svarer dem.
Det skal I lade være med
- At inddrage sikkerheden, når kontrakten er underskrevet. Kravene har mest vægt, mens leverandøren endnu ønsker ordren.
- At købe systemer uden en navngiven ejer. Uden ejer bliver opdateringerne ingens opgave.
- At lade gamle systemer køre videre i stilhed. Systemer uden opdateringer skal op som en risiko, ledelsen tager stilling til.
- At tro, at et cloudprodukt opdaterer sig selv i alle lag. Opsætning og adgange er stadig jeres ansvar.
- At glemme afviklingen. Data på udfasede systemer og udstyr skal slettes efter en fastlagt procedure.
Det skal I kræve af den eksterne
- ☐ Et udkast til indkøbsprocedure med faste sikkerhedsspørgsmål.
- ☐ En liste over systemer med ejer, leverandørkontakt og forventet ophør af opdateringer.
- ☐ Forslag til frister for rettelse af sårbarheder efter alvor.
- ☐ En registrering af sårbarheder, der bevidst ikke er rettet, med begrundelse og dato for ny vurdering.
- ☐ Vurderinger af nye systemer, der ikke er påvirket af salgsinteresser, fordi rådgiveren ikke får provision fra nogen leverandør.
Indkøb og udvikling er en del af det bredere risikoarbejde. Næste skridt er at tage jeres tre vigtigste systemer og spørge, hvem der ejer hvert af dem, og hvornår leverandøren holder op med at opdatere det.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4 og 5 (forsyningskæde og sikkerhed ved erhvervelse, udvikling og vedligeholdelse), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 5 om erhvervelse, udvikling og vedligeholdelse og om håndtering af sårbarheder.
- Forordning (EU) 2024/2847 om cyberrobusthed: krav til produkter med digitale elementer.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra e.
Senest gennemgået: november 2026.
Næste skridt
- Ny leverandør eller nyt system: sikkerhedsreview før beslutningen
- Sikkerhedskrav til jeres IT-leverandør: hvad skal stå i aftalen?
Læs også: Forvaltning af aktiver: overblik over systemer, data og udstyr · Risikoanalysemetode: sådan bliver vurderingerne sammenlignelige år for år
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
