I en transport- eller logistikvirksomhed bør ledelsen prioritere tre ting først: et overblik over alle de eksterne parter, der har adgang til systemerne, en plan for at holde driften i gang, når planlægningssystemet er nede, og faste regler for ændringer af betalinger og kontooplysninger. Branchen arbejder med mange vognmænd, chauffører, lagre og kunder, der alle skal kunne se eller indtaste noget, og den kører ofte døgnet rundt. Det gør adgangsstyring og beredskab til de områder, hvor sikkerhedsledelsen gør den største forskel.
Er transportvirksomheden omfattet af NIS2?
NIS2-lovens bilag 1 nævner transport inden for luftfart, jernbane, søfart og vejtransport. Under vejtransport er det vejmyndigheder med ansvar for trafikledelse og operatører af intelligente transportsystemer, der nævnes. Søfarten omfatter bl.a. rederier og driftsorganer i havne. Bilag 2 nævner post- og kurertjenester.
En almindelig vognmandsforretning eller et logistiklager står altså ikke i bilagene som en selvstændig type. Det betyder sjældent, at kravene udebliver. Omfattede kunder har efter § 6, stk. 1, nr. 4, pligt til at se på sikkerheden hos de leverandører, de handler med direkte, og transportøren er en af dem. Hvad det betyder for kundens krav til jer, står under forsyningskæden i NIS2 set fra ledelsen. Er virksomheden omfattet, ligger pligterne hos ledelsesorganet efter § 7. De er samlet under NIS2 og ledelsens ansvar.
Mange parter med adgang
En mellemstor speditør kan have hundredvis af personer, der logger ind på dens systemer uden at være ansat: underleverandørernes chauffører i en app, kunder i en bookingportal, lagerpersonale fra et vikarbureau og leverandører af telematik og flådestyring. Hver adgang er en mulig vej ind, og hver af dem skal lukkes, når samarbejdet slutter.
Det daglige arbejde med brugerne ligger hos IT og de ansvarlige afdelinger, mens ledelsen beslutter principperne og får at vide, om de følges. Det handler om, hvem der må godkende en ny ekstern bruger, hvor længe adgangen gælder, og hvor ofte listen gennemgås. Principperne er beskrevet under adgangsstyring som politik, og overblikket over leverandørerne under leverandøroverblik.
Planlægningssystemet er hjertet
Transportstyring, ruteplanlægning, lagerstyring og sporing hænger ofte sammen i ét eller to systemer, som alt andet afhænger af. Står de stille, ved chaufførerne ikke, hvor de skal hen, lageret ved ikke, hvad der skal plukkes, og kunderne kan ikke se, hvor deres gods er.
Beredskabet skal derfor svare på konkrete spørgsmål. Hvor længe kan vi køre på papir og telefon? Hvilke kunder og leverancer prioriteres, hvis kapaciteten falder? Hvem ringer til de vigtigste kunder, og hvad får de at vide? Svarene hører hjemme i beredskabsplanen for ledelsen, og de skal være kendt af den, der har vagten om natten.
Døgndriften stiller også krav til, hvem der kan træffe beslutninger. En hændelse, der opdages klokken tre om natten, kan ikke vente på, at direktøren møder ind. Ledelsen bør derfor på forhånd give vagthavende disponent eller lagerleder et mandat, fx til at afbryde forbindelsen til et system, der opfører sig mistænkeligt, og til at skifte til nøddrift. Mandatet skal stå på skrift sammen med en telefonliste, der også virker, når mail og intranet er nede. Mange planlægningssystemer drives desuden af en leverandør som en tjeneste. Ledelsen bør vide, hvad leverandøren lover om oppetid og genetablering, og om det passer med, hvor længe virksomheden kan klare sig uden.
Betalinger og falske ændringer
En branche med mange underleverandører og mange fakturaer er et oplagt mål for svindel, hvor nogen udgiver sig for at være en kendt samarbejdspartner og beder om at få betalingen sendt til en ny konto. Ledelsen bør fastsætte regler for, hvordan ændringer af kontooplysninger kontrolleres, og følge dem selv. Emnet er uddybet under direktørsvindel og betalinger.
Hvad ledelsen bør prioritere først
Når alt haster, kan rækkefølgen være:
- Kortlæg de eksterne adgange. Hvem har adgang til hvad, og hvem godkendte det?
- Beskriv nøddriften. Hvad gør vi de første 24 timer uden planlægningssystemet?
- Fastsæt betalingsreglerne. Ingen kontoændring uden kontrol ad en anden kanal.
- Gennemgå de vigtigste leverandøraftaler. Står der noget om sikkerhed, underretning og adgang?
- Indfør en fast rapport til ledelsen. Status på de fire punkter hvert kvartal.
Hvordan man vælger, hvad der skal gøres først, når ressourcerne er begrænsede, står under prioritering af sikkerhedsarbejdet. Hvilken rolle der skal lede IT-arbejdet i branchen, er behandlet på ekstern-it-ledelse.dk.
Et tænkt eksempel
En logistikvirksomhed med 80 ansatte og 30 faste vognmænd som underleverandører får et sikkerhedsspørgeskema fra en stor kunde i detailhandlen. Et af spørgsmålene handler om, hvem der har adgang til ordredata. Ingen kan svare præcist. Den eksterne sikkerhedsleder trækker en liste fra systemerne og finder over 50 eksterne brugere, hvoraf en del tilhører vognmænd, der ikke længere kører for virksomheden. Direktionen beslutter, at alle eksterne adgange fremover udløber efter et år og skal fornyes af den ansvarlige afdelingsleder. Kunden får et præcist svar, og reglen kommer ind i politikken.
Det skal I lade være med
- At lade eksterne adgange leve videre, når underleverandøren eller vikaren er stoppet.
- At regne med, at planlægningssystemet altid kører. Nøddriften skal være beskrevet og kendt.
- At ændre kontonumre på baggrund af en mail alene, heller ikke når den ser ud til at komme fra en kendt vognmand.
- At besvare kundernes spørgeskemaer, uden at nogen ejer svarene.
- At udskyde arbejdet, fordi virksomheden ikke står i lovens bilag.
Det skal I kræve af den eksterne
- ☐ Et overblik over eksterne brugere og leverandører med adgang, opdateret mindst en gang om året.
- ☐ En beskrevet nøddrift for planlægnings- og lagersystemerne.
- ☐ Forslag til regler for betalinger og kontoændringer til ledelsens godkendelse.
- ☐ En vurdering af, om virksomheden er omfattet af NIS2, eller hvilke kunder der stiller krav på grund af loven.
- ☐ En kort kvartalsrapport til direktionen med status og beslutninger.
Hvad I kan gøre nu
Bed om en liste over alle eksterne brugere i jeres to vigtigste systemer, og spørg, hvem der godkendte dem. Det tager kort tid og siger meget om, hvor sikkerhedsarbejdet skal begynde. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- NIS2-loven (lov 434/2025) på retsinformation.dk: transportsektoren i bilag 1, nr. 2, bilag 2, nr. 1, om post- og kurertjenester, kundernes forsyningskæde i § 6, stk. 1, nr. 4, og ledelsesorganets opgaver i § 7.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Driftskontinuitet og krisestyring · Kunden har sendt et sikkerhedsspørgeskema
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
