Om sikkerheden hos leverandøren er forankret, kan en kunde langt hen ad vejen se ud fra fire ting: om der er en navngiven ansvarlig med en stedfortræder, hvornår ledelsen sidst godkendte sikkerhedspolitikken, hvem der har administratoradgang til jeres miljø, og om nogen uden for den daglige drift gennemgår sikkerheden. Hvert punkt kan belægges med et dokument.
Spørgsmålene erstatter ikke en audit af politik og risikovurdering. De giver et billede af, om der er nogen at holde fast i, hvis den ene person, der ved alt, bliver syg eller siger op.
Hvorfor det betyder noget for en kunde
Hos mange mindre leverandører er sikkerheden én medarbejders område. Det er ikke nødvendigvis et problem. Personen kan være dygtig og samvittighedsfuld. Risikoen opstår, når viden, adgange og beslutninger kun findes ét sted.
For jer betyder det, at leverandørens sikkerhed kan ændre sig fra den ene dag til den anden uden, at kontrakten ændres. Det er værd at vide på forhånd.
Hvad kilderne siger om roller
Ifølge den statslige leverandørvejledning bør kunden sikre sig, at der hos leverandøren er udpeget en person eller rolle, som bærer ansvaret for leverancens sikkerhed. Det er den, I henvender jer til ved kontrol og hændelser.
For udbydere af cloud- og administrerede tjenester går gennemførelsesforordning (EU) 2024/2690 længere. Ifølge bilagets punkt 1.2 skal roller og ansvar fastlægges, og der skal være mindst én, som refererer direkte til ledelsen. Modstridende ansvarsområder adskilles, hvor det er relevant. Efter punkt 10.1.3 gennemgås tildelingen af personale til roller mindst én gang om året. Punkt 2.3 handler om en uafhængig gennemgang af sikkerheden, hvor de, der gennemgår, ikke må være over- eller underordnet det område, de gennemgår.
Forordningens betragtning 5 tager højde for de mindste virksomheder og nævner kompenserende foranstaltninger. Et krav om adskilte roller kan altså ikke overføres direkte til en leverandør med tre ansatte. Over for leverandører uden for forordningen er punkterne en målestok og ikke et krav.
De fire spørgsmål
Spørgsmålene og dokumenterne er praksis. Ingen kilde lister dem som en samlet kontrol.
- Hvem er ansvarlig for sikkerheden, og hvem træder til ved fravær? · Dokument, der belægger svaret: Organisationsdiagram eller rollebeskrivelse med navne · Tegn på, at det hænger på én: Ingen stedfortræder, eller stedfortræderen kender ikke jeres leverance
- Hvornår godkendte ledelsen sidst sikkerhedspolitikken? · Dokument, der belægger svaret: Politikken med dato og godkendelse · Tegn på, at det hænger på én: Ingen dato, eller godkendt af den samme person, der skrev den
- Hvem har administratoradgang til jeres miljø? · Dokument, der belægger svaret: Liste med navne og roller · Tegn på, at det hænger på én: Én person, eller alle i virksomheden
- Hvem gennemgår sikkerheden uden at være en del af den? · Dokument, der belægger svaret: Rapport fra intern eller ekstern gennemgang · Tegn på, at det hænger på én: Ingen gennemgang, eller den ansvarlige gennemgår sig selv
Svarene skal ikke være perfekte. Det, I leder efter, er tegn på, at sikkerheden ville fortsætte, hvis den centrale person forsvandt.
Tal med mere end én
En almindelig fremgangsmåde er at stille et af spørgsmålene til to personer hos leverandøren: den ansvarlige og en anden, fx stedfortræderen eller den daglige leder. Er svarene ens, er viden delt. Er de forskellige, har I fundet noget, der er værd at gå videre med.
Et tænkt eksempel: Den sikkerhedsansvarlige forklarer, hvordan nødadgang til jeres miljø fungerer. Stedfortræderen ved ikke, at der findes en nødadgang. Det er et konkret fund, og det kan rettes med en procedure og en øvelse.
Når svaret er ja, den hænger på én
Hos en lille leverandør kan svaret være, at én person står for det hele. Det kan være acceptabelt, hvis der er kompenserende tiltag. Spørg, hvordan adgangskoder og procedurer er dokumenteret, så andre kan overtage, og om der er en aftale med en ekstern part, der kan træde til. Hvordan auditten tilpasses en lille leverandør, er beskrevet under audit af den lille leverandør.
Spørgsmålene før aftalen
De fire spørgsmål kan stilles, før aftalen er underskrevet. På det tidspunkt har leverandøren en interesse i at svare grundigt, og I har stadig mulighed for at skrive krav ind. Svarer leverandøren, at der ikke er en stedfortræder, kan aftalen fx kræve, at der udpeges en inden et bestemt tidspunkt, og at I får besked, når den ansvarlige skiftes ud.
Spørgsmålene kan også bruges til at vælge, hvor grundig den senere kontrol skal være. En leverandør, hvor alle fire svar er belagt, kan måske nøjes med en årlig status. En leverandør, hvor det hele hviler på én, giver grund til at følge tættere op. Hvordan graden af kontrol vælges, er beskrevet under tre grader af kontrol.
Grænsen
Her handler det om, hvad I kan afgøre udefra. En gennemgang i dybden af leverandørens politik, risikovurdering og ledelsessystem er en større opgave. Hvordan man auditerer en organisations egen sikkerhedsledelse, er behandlet under den almene sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver et møde med leverandøren og fire dokumenter. Spørgsmålene kan stilles før en aftale og gentages ved den årlige opfølgning.
Uden spørgsmålene opdager I måske først, at sikkerheden hang på én person, når personen er væk, og ingen kan svare på jeres henvendelse.
Det skal I lade være med
- At kræve adskilte roller hos en leverandør med få ansatte · spørg efter kompenserende tiltag.
- At tage et navn på en liste som bevis for forankring · spørg også stedfortræderen.
- At gøre spørgsmålene til en fuld audit af ledelsessystemet · det er en anden opgave.
Det skal auditten kunne vise
- ☐ Navngiven sikkerhedsansvarlig og stedfortræder for jeres leverance.
- ☐ Sikkerhedspolitik med dato for ledelsens godkendelse.
- ☐ Liste over personer med administratoradgang til jeres miljø.
- ☐ Rapport fra en gennemgang foretaget af andre end de ansvarlige.
- ☐ Kompenserende tiltag, hvis sikkerheden hviler på én person.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.2, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, betragtning 5 og bilag punkt 1.2, 2.3 og 10.1.3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Stil leverandøren de fire spørgsmål ved næste møde, og bed om dokumenterne, der belægger svarene.
Læs også: Audit af den lille leverandør · Konsulenter og freelancere med adgang
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
