Ledelsen har sjældent tid til at læse hver auditrapport, men den skal kunne se, hvilke leverandører der bærer den største risiko, og hvor kontrollen halter. Et samlet overblik med én linje pr. leverandør, bygget på resultaterne fra audits, erklæringer og opfølgning, giver det billede.
Rapportering til bestyrelsen i store virksomheder og modenhed over tid er beskrevet under ledelsesrapportering og modenhed. Her handler det om at samle leverandørernes resultater.
Hvorfor ledelsen skal se det samlede billede
Vejledningen om cybersikkerhed i leverandørforhold fra maj 2022 foreslår, at leverandørerne rangeres efter deres betydning for forretningen, at der laves en prioriteret liste og en tilsynsplan, og at kræfterne bruges på de kritiske. Vejledningens eksempel på roller gør ledelsen overordnet ansvarlig og giver den opgaven at godkende risikovurderinger og risikohåndteringsplaner.
Er I omfattet af NIS 2, godkender ledelsesorganet efter § 7 foranstaltningerne og fører tilsyn med, at de gennemføres. Forsyningskædesikkerhed er en af dem (§ 6, stk. 1, nr. 4). Digitale enheder under forordning 2024/2690 skal holde ledelsesorganerne orienteret med jævnlige rapporter, der bygger på evalueringer af, om kravene overholdes (bilag, punkt 2.2.1).
For finansielle virksomheder gennemgår ledelsesorganet efter DORA artikel 28, stk. 2, regelmæssigt de risici, der er konstateret ved aftaler om IKT-tjenester til kritiske eller vigtige funktioner. Betragtningerne i forordning 2024/1773 lægger samtidig op til, at ledelsesorganet vedtager politikken for de aftaler og ser den igennem mindst én gang om året.
Kolonnerne i overblikket
DORA-registrets felter for kritiske eller vigtige funktioner kan bruges som model for kolonnerne, også i virksomheder, DORA ikke gælder for. Det er en målestok og vores tolkning af, hvad der er nyttigt for en ledelse. Overført til et overblik giver det:
- Leverandør og ydelse. Hvad leverandøren leverer, og hvilken funktion hos jer det understøtter.
- Kritikalitet. Jeres rangering efter vejledningens parametre.
- Substituerbarhed. Hvor let leverandøren kan erstattes. Registret bruger fire trin fra kan ikke erstattes til let.
- Dato for seneste audit. Den dato, hvor I eller en tredjepart på jeres vegne sidst kontrollerede leverandøren. Registret tæller ikke modtagne certifikater eller leverandørens egne rapporter som audit.
- Seneste erklæring eller certifikat. Type, periode og dækning.
- Åbne fund. Antal efter alvor og det ældste åbne fund.
- Accepterede risici. De fund, ledelsen har accepteret, og datoen for ny vurdering.
- Exitplan. Om der findes en, og om den er gennemgået.
- Virkning af en afbrydelse. Hvad der sker hos jer, hvis leverandøren falder ud.
- Alternative leverandører. Om der er identificeret alternativer.
Hvor tallene kommer fra
Overblikket er kun så godt som de kilder, det bygger på. Hver kolonne bør kunne føres tilbage til et dokument: auditrapporten, handlingsplanen, erklæringen, ledelsens accept, exitplanen. Notér kilden og datoen i overblikket, så en læser kan se, hvor gammel oplysningen er.
Er en kolonne tom for en vigtig leverandør, er det en oplysning i sig selv. En kritisk leverandør uden en dato for seneste audit og uden en exitplan bør stå øverst. Det samme gælder en leverandør, hvis seneste erklæring er udløbet, eller hvis handlingsplan har passeret sin slutdato uden at være lukket. Den slags huller er lette at overse, når hver rapport læses for sig.
Præsentationen
Formen er praksis. Et farvekodet skema, hvor hver leverandør har en linje, eller et kort, hvor leverandørerne placeres efter kritikalitet og antal åbne fund, fungerer for de fleste ledelser. Det vigtige er, at læseren kan se tre ting på kort tid:
- hvilke kritiske leverandører der ikke er kontrolleret for nylig
- hvilke leverandører der har alvorlige åbne fund
- hvilke risici ledelsen allerede har accepteret, og hvornår de skal vurderes igen
Undgå at slå resultaterne sammen til én samlet score pr. leverandør. En score skjuler, om tallet skyldes mange små fund eller et enkelt alvorligt.
Den årlige gennemgang
Overblikket bør gennemgås af ledelsen med faste mellemrum, fx en gang om året og ved væsentlige hændelser. Vejledningen fra Center for Cybersikkerhed anbefaler, at risikovurderinger opdateres mindst årligt, og at kontrakterne gennemgås mindst én gang om året. Lægges de to ting sammen med overblikket, får ledelsen ét samlet punkt på dagsordenen.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig, der holder overblikket ajour, et fast format og et fast punkt på ledelsens dagsorden. Det kræver også, at auditrapporter, erklæringer og accepter ligger et sted, hvor de kan findes.
Uden overblikket ser ledelsen kun de leverandører, der har været i nyhederne eller har givet problemer. De stille risici, som en ukontrolleret kritisk leverandør, forbliver usynlige.
Det skal I lade være med
- At samle alt i én score pr. leverandør · det alvorlige fund forsvinder i gennemsnittet.
- At tælle et modtaget certifikat som en audit · datoen for seneste audit bliver misvisende.
- At præsentere overblikket uden kilder og datoer · ledelsen kan ikke se, hvor gamle oplysningerne er.
Det skal auditten kunne vise
- ☐ Et overblik med én linje pr. leverandør og faste kolonner.
- ☐ Kilde og dato for hver oplysning.
- ☐ Kritiske leverandører uden nylig kontrol markeret øverst.
- ☐ Ledelsens gennemgang af overblikket med dato.
- ☐ Beslutninger fra gennemgangen ført ind i tilsynsplanen.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.1, 5.4, 5.5 og bilag 4, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 2.2.1, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 2, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, betragtninger, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2956, bilag I, B_07.01, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en første udgave af overblikket for jeres ti vigtigste leverandører, og markér de tomme felter.
Læs også: Hvilke leverandører skal auditeres? · Risikoen, I ikke selv kan fjerne
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
