Aftalen med IT-leverandøren bør beskrive, hvilke sikkerhedsopgaver leverandøren udfører, hvordan den beskytter jeres adgange og data, hvor hurtigt den reagerer og underretter ved en hændelse, hvad den rapporterer, og hvad I har ret til at kontrollere. Kravene skal være konkrete nok til, at begge parter kan se, om de er opfyldt. Ledelsen behøver ikke kende teknikken bag hvert krav, men den skal kunne pege på dem i aftalen og få dem fulgt op. En ekstern CISO kan formulere kravene og bruge dem i den løbende dialog med leverandøren.
Hvorfor kravene skal stå på skrift
Mange driftsaftaler er skrevet med fokus på oppetid, support og pris. Sikkerhed nævnes i en enkelt sætning om, at leverandøren følger god praksis. Det lyder betryggende, men det kan ikke måles. Når der sker en hændelse, er det svært at vise, hvad leverandøren havde lovet.
For virksomheder omfattet af NIS2-loven er sikkerheden i forsyningskæden en af de minimumsforanstaltninger, loven opregner. Loven nævner udtrykkeligt de sikkerhedsrelaterede forhold mellem virksomheden og dens direkte leverandører og tjenesteudbydere, jf. § 6, stk. 1, nr. 4. Skrevne krav er den mest direkte måde at vise, at forholdet er håndteret. Ledelsens del af det arbejde er beskrevet under leverandørstyring på sikkerhed.
De krav, ledelsen bør kunne pege på
Kravene kan samles i otte områder. Ikke alle passer til alle leverandører, men en driftsleverandør med adgang til hele miljøet bør kunne svare på dem alle.
- Opgaver og ansvar. Hvilke sikkerhedsopgaver leverandøren udfører, fx opdateringer, backup, overvågning og håndtering af brugere, og hvilke der ligger hos jer.
- Leverandørens egne adgange. Flerfaktor-login, navngivne konti, logning af hvem der har været inde, og hurtig lukning af adgang, når en medarbejder hos leverandøren stopper.
- Opdateringer. Frister for, hvor hurtigt kritiske sikkerhedsopdateringer installeres.
- Backup og genetablering. Hvad der tages backup af, hvor den opbevares, og hvor ofte en genskabelse afprøves.
- Hændelser. Hvor hurtigt leverandøren skal give jer besked, og hvad beskeden skal indeholde.
- Rapportering. En fast rapport om sikkerhedsforhold, fx en gang i kvartalet.
- Kontrol. Jeres ret til at få dokumentation og til at lade en uafhængig part teste eller gennemgå leverancen.
- Underleverandører. Hvem leverandøren selv bruger, og at kravene også gælder dem.
Hvordan retten til test kan skrives ind, er uddybet i en artikel om IT-kontrakten og test. Krav om dataudlevering og overgang ved et leverandørskifte hører til exit-planlægningen og er beskrevet under kontrakten, dataudlevering og overgang.
Krav, der kan måles
Et krav er kun nyttigt, hvis det kan kontrolleres. “Leverandøren holder systemerne opdateret” er svært at følge op på. “Kritiske sikkerhedsopdateringer installeres inden for en aftalt frist, og status rapporteres kvartalsvis” kan måles.
Tag en tømrervirksomhed med 50 ansatte, der har driftsaftale med en lokal leverandør. Ifølge aftalen tager leverandøren sig af sikkerheden. Den eksterne CISO foreslår i stedet seks konkrete krav med frister og en kvartalsrapport på én side. Leverandøren er enig i de fleste, men vil have ekstra betaling for at teste genskabelse af backup to gange om året. Direktionen vurderer, at det er pengene værd. Nu står kravet i aftalen, og der er en dato, man kan følge op på.
Når aftalen allerede er underskrevet
De fleste virksomheder har en løbende aftale, som ikke indeholder sikkerhedskrav. Det er sjældent nødvendigt at opsige den. En fornuftig vej er et tillæg med de vigtigste krav, forhandlet ved næste fornyelse eller ved et statusmøde. Leverandøren vil ofte selv have interesse i en tydelig fordeling, fordi den beskytter mod uklare forventninger.
Start med de krav, der har størst betydning for jer. For de fleste er det leverandørens egne adgange, frister for besked ved hændelser og afprøvning af backup. Resten kan komme til i takt med, at samarbejdet udvikler sig. Hvem der i det hele taget har hvilket ansvar, når driften er lagt ud, står i ansvarsfordelingen ved outsourcet drift.
Overvej også, hvad der skal ske, når leverandøren ikke lever op til et krav. Det behøver ikke være bod eller erstatning. Ofte er det nok at aftale, at afvigelser skal meldes skriftligt med en plan for, hvornår de er rettet. Det giver ledelsen et grundlag for at tage sagen op med leverandørens ledelse, hvis det samme gentager sig.
Opfølgningen
Krav i en aftale har kun værdi, hvis nogen kigger efter. Opfølgningen hører hjemme i faste møder med leverandøren, hvor rapporten gennemgås, og afvigelser drøftes. Den eksterne CISO kan forberede møderne, stille spørgsmålene og give ledelsen en kort status. Indholdet af de møder er beskrevet i opfølgning på leverandøren.
Det skal I lade være med
- At nøjes med en henvisning til god praksis. Det giver ingen målestok.
- At lade leverandøren skrive kravene til sig selv. De bliver formuleret, så de er lette at opfylde.
- At stille krav, I ikke vil følge op på. Så mister kravene deres vægt.
- At glemme underleverandørerne. Jeres data kan ligge flere led længere ude.
- At overføre alle krav fra en stor koncernaftale til en lille leverandør. Kravene skal stå i forhold til leverancen.
Det skal I kræve af den eksterne
Den eksterne CISO skal formulere kravene ud fra jeres risici og være på jeres side i forhandlingen. Det forudsætter, at rådgiveren ikke modtager betaling fra leverandøren eller har en partneraftale med den.
- ☐ Et udkast til sikkerhedskrav, tilpasset hver af de vigtigste leverandører.
- ☐ Krav med frister og målepunkter.
- ☐ Deltagelse i forhandlingen med leverandøren, når I ønsker det.
- ☐ En skabelon til leverandørens kvartalsrapport.
- ☐ Opfølgning på afvigelser med besked til ledelsen.
- ☐ Erklæring om, at rådgiveren ingen kommercielle bånd har til leverandøren.
Sådan kommer I videre
Find aftalen med jeres vigtigste IT-leverandør frem, og søg efter ordet sikkerhed. Står der kun generelle formuleringer, er det et godt tidspunkt at bede om et tillæg. Overblikket over, hvilke leverandører der bør prioriteres først, står i overblik over leverandører med adgang.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed og forholdet til direkte leverandører.
- NIS2-direktivet, (EU) 2022/2555: art. 21 om foranstaltninger, herunder sikkerhed i forsyningskæden.
Senest gennemgået: november 2026.
Næste skridt
Læs også: IT-leverandøren som CISO · Forsyningskæden i NIS2
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
