Et skifte af leverandør bør overvejes, når fundene viser, at leverandøren ikke kan eller vil leve op til aftalen over tid, eller når et enkelt fund er så alvorligt, at jeres data eller drift ikke kan beskyttes, mens det står åbent. Ingen regel fastsætter grænsen. Kriterierne herunder er praksis og vores tolkning, og de skal tilpasses jeres aftale og jeres risiko.
Artiklen er ikke juridisk rådgivning om opsigelse. Om I kan opsige, og med hvilket varsel, afgøres af jeres egen aftale.
Fem tegn, der peger mod et skifte
Gentagne fund på samme område. Det samme fund ved to eller tre audits i træk tyder på, at leverandøren ikke har evnen eller viljen til at rette det.
Fund i leverandørens samlede risikostyring. Et enkelt hul kan lukkes. Viser auditten, at leverandørens styring af sikkerhed som helhed er svag, er det sværere at rette inden for en rimelig tid.
Manglende samarbejde om kontrol. Afviser leverandøren adgang, udleverer den ikke dokumentation, eller trækker den svar i langdrag, kan I ikke vide, hvordan det står til. Vejledningen fra Center for Cybersikkerhed nævner netop leverandørens vilje til at samarbejde blandt de forhold, der bestemmer, hvor tæt en leverandør skal følges.
Ændringer uden varsel. Skifter leverandøren underleverandør, flytter driften eller ændrer sin kæde uden at varsle jer, mister I det grundlag, aftalen bygger på.
Fund, der rammer jeres vigtigste data eller funktioner, og som står åbne trods eskalation.
DORA som målestok
For finansielle virksomheder står der i DORA artikel 28, stk. 7, hvilke grunde aftalen mindst skal kunne opsiges på:
- væsentlig overtrædelse af lov, regler eller kontrakt
- forhold konstateret under overvågningen, der kan ændre udførelsen af tjenesten
- dokumenterede svagheder i leverandørens samlede IKT-risikostyring, især for tilgængelighed, autenticitet, integritet og fortrolighed af data
- når myndigheden ikke længere kan føre effektivt tilsyn
Forordning 2025/532 lægger i artikel 6 flere grunde til, når kæden er problemet. Aftalen kan give ret til opsigelse, når leverandøren ændrer sin underentreprise væsentligt, selv om kunden har protesteret eller ikke har godkendt det, og når en underleverandør er sat på opgaven uden kundens udtrykkelige ja.
DORA-registret efter gennemførelsesforordning 2024/2956 har en fast liste over årsager til opsigelse. Den skelner mellem opsigelse uden særlig årsag, opsigelse fordi leverandøren har overtrådt lov eller kontrakt, fordi der er fundet hindringer, der kan ændre den understøttede funktion, på grund af svagheder i forvaltningen og sikkerheden af følsomme data, efter anmodning fra en myndighed, eller af anden årsag.
Reglerne gælder kun finansielle virksomheder. For andre er kategorierne en brugbar ramme for at skrive kriterierne ned. De tre fra artikel 28, stk. 7, litra a til c, passer direkte på resultater fra en leverandøraudit.
Forudsætningen: en exitplan
Et skifte kræver, at I kan komme ud. DORA artikel 28, stk. 8, kræver exitstrategier for kritiske eller vigtige funktioner, og den delegerede forordning 2024/1773 kræver i artikel 10 en dokumenteret exitplan for hver kontraktlig ordning, periodisk gennemgået og testet. Det gælder finansielle virksomheder.
Ophørsfasen i den statslige vejledning om cybersikkerhed hos leverandører anbefaler, at aftalen har bestemmelser om ophør, en liste over aktiver, der skal leveres tilbage eller bortskaffes, og en plan for overdragelse. Uden de ting kan beslutningen om at skifte være rigtig og alligevel umulig at føre ud i livet i tide. Selve planen for skiftet er en opgave for sig og behandles ikke her.
Beslutningen
Det følgende er praksis.
- Saml fundene fra de seneste audits og opfølgningen på dem i ét overblik.
- Vurder dem mod kriterierne ovenfor, og notér, hvilke der er opfyldt.
- Læs aftalens bestemmelser om opsigelse og misligholdelse, eventuelt med juridisk bistand.
- Kontrollér, at exitplanen er realistisk.
- Lad ledelsen beslutte på et skriftligt grundlag: fortsætte med skærpet kontrol, genforhandle eller skifte.
Den mellemste mulighed glemmes ofte. En leverandør, der står over for at miste kunden, kan være villig til at aftale frister og kontrol, den tidligere har afvist. Skriv i så fald de nye vilkår ind i aftalen, så de kan auditeres næste gang.
Hvad det kræver, og hvad det koster at lade være
Det kræver skrevne kriterier, et overblik over fund over tid og en exitplan, der kan bruges. Det kræver også, at ledelsen får et beslutningsgrundlag, der skelner mellem enkeltfund og et mønster. En uvildig gennemgang af fundene, fx fra Nielco IT uden forhandleraftaler med nogen leverandør, kan være en måde at få det grundlag på.
Uden kriterier bliver beslutningen enten udskudt, indtil en hændelse tvinger den igennem, eller truffet i affekt efter en enkelt dårlig audit. Begge dele giver et større oprydningsarbejde end en planlagt beslutning.
Det skal I lade være med
- At beslutte et skifte uden exitplan · I kan ende med at blive.
- At reagere på et enkelt fund, når mønsteret er godt · se fundene over tid.
- At opsige uden at have læst aftalens bestemmelser · varsel og grunde står dér.
Det skal auditten kunne vise
- ☐ Skrevne kriterier for, hvornår fund fører til genforhandling eller skifte.
- ☐ Et overblik over fund og opfølgning fra flere audits.
- ☐ En exitplan, der er gennemgået.
- ☐ Ledelsens beslutning med begrundelse.
- ☐ Aftalens bestemmelser om opsigelse noteret i beslutningsgrundlaget.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 7 og 8, læst 12. november 2026.
- Delegeret forordning (EU) 2025/532, artikel 6, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2956, bilag I, felt B_02.02.0090, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 10, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.1 og fase 6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres kriterier for skifte ned, og hold de seneste audits af jeres vigtigste leverandør op mod dem.
Læs også: Leverandøren lukker ikke fundene · Audit ved kontraktophør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
