Forskellen på en plan på papir og et afprøvet beredskab kan ses i tre dokumenter: datoen og scenariet for leverandørens seneste øvelse, evalueringen bagefter og svaret på, om jeres ydelse var med. Kan leverandøren fremvise alle tre, har planen været i brug. Kan den kun vise selve planen, ved I ikke, om den virker.
Leverandørens beredskab har et særtræk. Det tilhører en anden virksomhed og skal dække mange kunder på én gang. Jeres ydelse er én blandt flere.
Hvad statens vejledning lægger op til
Den statslige vejledning om cybersikkerhed i leverandørforhold, der også kan bruges af private, anbefaler, at aftalen omfatter procedurer for hændelseshåndtering, forretningsvidereførelse og beredskab, herunder regelmæssig test af beredskabsplanerne. Blandt vejledningens eksempler på kontrol står beredskabsøvelser, hvor kunden deltager eller observerer.
Det sidste er værd at hæfte sig ved. En øvelse, I selv har overværet, er bedre bevis end en evaluering, I får tilsendt. Det kræver, at retten til at deltage står i aftalen.
Sikkerdigitals spørgeskema til leverandører spørger direkte, om leverandøren har en beredskabsplan, og hvornår den sidst blev afprøvet. Spørgsmålet er kort, og svaret siger meget.
Målestokken for de digitale udbydere
Er leverandøren en udbyder af cloud- eller administrerede tjenester, er den selv omfattet af gennemførelsesforordning (EU) 2024/2690. Punkt 4.1 i forordningens bilag handler om planer for driftskontinuitet, som skal testes, gennemgås og ajourføres, og som bygger på en analyse af konsekvenserne for forretningen. Punkt 4.1.2 nævner en rækkefølge for genopretning. Punkt 4.2.4 nævner reservekapacitet.
Hos andre leverandører kan punkterne bruges som målestok, når I stiller spørgsmål.
Et eksempel fra energisektoren
Nogle sektorer har særlige regler. Energistyrelsen har i juli 2026 udsendt version 1.1 af en vejledning om leverandørstyring. Den gælder virksomheder i el, gas, brint, olie, fjernvarme og fjernkøling på niveau 2 til 5. Ifølge vejledningen kræver bekendtgørelse nr. 260 af 6. marts 2025, at virksomheden træner leverandøren i to obligatoriske øvelseselementer, og at rammerne for leverandørens deltagelse i øvelser aftales i kontrakten. Vejledningen stiller bl.a. spørgsmålet, om kunden vil kunne gennemføre uvarslede øvelser.
Reglen gælder kun energisektoren, og bekendtgørelsen er her gengivet, som Energistyrelsens vejledning beskriver den. For andre virksomheder viser eksemplet, hvordan øvelser med leverandøren kan gøres til en del af aftalen.
Spørgsmålene til leverandøren
Spørgsmålene er praksis og ikke en officiel liste.
- Hvornår blev planen sidst øvet? · Dato og deltagerliste
- Hvilket scenarie blev øvet? · Kort beskrivelse af scenariet
- Hvad viste øvelsen? · Evaluering med de forbedringer, der blev besluttet
- Var jeres ydelse med? · Oplysning om, hvilke systemer og kunder øvelsen omfattede
- Hvor står I i rækkefølgen for genopretning? · Leverandørens prioritering ved et større nedbrud
- Er forbedringerne fra sidste øvelse gennemført? · Status på punkterne fra evalueringen
Spørgsmålet om rækkefølgen er det, kunderne sjældnest stiller. Leverandøren har mange kunder, og ved et stort nedbrud kan ikke alle komme op samtidig. Det er en legitim prioritering. Det er bare bedre at kende den på forhånd.
Øvelse med jer
Et tænkt eksempel på en øvelse, hvor kunden deltager: Leverandøren simulerer, at jeres primære driftsmiljø er utilgængeligt en tirsdag formiddag. Jeres it-ansvarlige og en fra forretningen sidder med. Øvelsen måler, hvornår I får besked, hvilke oplysninger I får, og hvor lang tid der går, før reservemiljøet er i drift. Evalueringen deles med jer.
En sådan øvelse kræver forberedelse på begge sider. Den giver til gengæld bevis for både leverandørens og jeres egen del af beredskabet. Spørgsmålet om, hvordan leverandøren underretter jer, uddybes i hændelseshåndtering og underretning.
Backuppen er en del af beredskabet
Et beredskab, der bygger på gendannelse fra backup, virker kun, hvis gendannelsen er afprøvet. Se leverandørens backup af jeres data. Selve den tekniske opsætning af reserveudstyr og gendannelse er et teknisk kontrolpunkt.
Leverandørens egne leverandører
Leverandørens beredskab hviler ofte på andre virksomheder: et datacenter, en netforbindelse, en cloudtjeneste. En øvelse, der alene prøver leverandørens egne folk og procedurer, siger mindre om, hvad der sker, hvis et led længere nede falder ud.
Spørg derfor, om et af scenarierne har handlet om, at en underleverandør faldt bort, og hvilke aftaler leverandøren har med sine egne leverandører om genopretning. Svaret viser, om beredskabet er tænkt igennem hele vejen ned. Hvordan selve kæden kontrolleres, står under underleverandører.
Hvad det kræver, og hvad det koster at lade være
Det kræver et krav i aftalen om test af beredskabet, retten til at se evalueringen og helst retten til at deltage eller observere. Det kræver også, at I selv har tid til at deltage, når invitationen kommer.
Uden kontrol finder I først ud af, om leverandørens beredskab dækker jer, når det bliver brugt. Rækkefølgen for genopretning er så besluttet af andre.
Det skal I lade være med
- At nøjes med at se planen · bed om øvelsens dato, scenarie og evaluering.
- At glemme jeres plads i køen · spørg, hvor jeres ydelse står ved genopretning.
- At afslå invitationen til at deltage · det er det stærkeste bevis, I kan få.
Det skal auditten kunne vise
- ☐ Aftalens krav til test af beredskab og til jeres deltagelse.
- ☐ Dato, scenarie og deltagere for leverandørens seneste øvelse.
- ☐ Evalueringen og status på de forbedringer, der blev besluttet.
- ☐ Oplysning om, hvorvidt jeres ydelse var omfattet.
- ☐ Leverandørens rækkefølge for genopretning, og hvor I står.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4 og 5.3, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), pkt. 2.D, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 4.1 og 4.2.4, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1, 6. juli 2026, afsnittet om involvering i øvelser (§ 30, stk. 1, nr. 5), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg leverandøren, hvornår beredskabsplanen sidst blev øvet, og om I kan deltage i den næste øvelse.
Læs også: Leverandørens backup af jeres data · Audit af driftsleverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
