Leverandørstyring er den måde, en kunde styrer sine leverandører på gennem hele forløbet: fra valget af leverandør over kravene i kontrakten og den løbende kontrol til afslutningen. En leverandøraudit er ét af redskaberne i den løbende kontrol, ikke hele styringen.
Artiklen er til indkøberen og kontraktejeren, der skal skrive eller efterleve en politik for leverandørstyring og vil vide, hvilke punkter i den en audit kan holdes op imod.
Forløbet i seks faser
Den statslige vejledning om leverandørforhold fra maj 2022 deler forløbet i seks faser: planlægning, kravstillelse, leverandørvalg, aftalen, styring og afslutning. Vejledningen er skrevet til statslige myndigheder, men private virksomheder med outsourcet drift kan også bruge den. Den kan bruges både ved et nyt forløb og ved styring af en kontrakt, der allerede er underskrevet.
Vejledningens udgangspunkt er, at kunden stadig står til ansvar for sine data og systemer, selv når en anden driver dem. Derfor bør kunden løbende kontrollere leverandøren i aftaleperioden. Faserne er gennemgået enkeltvis i statens vejledning om leverandørforhold.
Hvad regler og standarder forventer
NIS 2. Er I omfattet af NIS 2-loven, skal foranstaltningerne efter § 6, stk. 1, nr. 4, som minimum omfatte forsyningskædesikkerhed, herunder forholdene til jeres direkte leverandører og tjenesteudbydere. Efter § 7 godkender ledelsesorganet foranstaltningerne og fører tilsyn med gennemførelsen.
Digitale tjenesteudbydere. Gennemførelsesforordning (EU) 2024/2690 er mere konkret for de digitale udbydere, den omfatter. Bilagets punkt 5.1.1 kræver en politik for forsyningskædesikkerhed om forbindelserne til direkte leverandører. Punkt 5.1.2 kræver kriterier for valg af leverandører, bl.a. deres cybersikkerhedspraksis og evnen til at begrænse leverandørfastlåsning. Efter punkt 5.1.4 skal kontrakterne, hvor det er relevant, rumme blandt andet sikkerhedskrav, underretning om hændelser og en ret til selv at auditere eller til at få auditrapporter. Punkt 5.1.6 og 5.1.7 kræver overvågning med planlagte mellemrum.
ISO/IEC 27001. Standardens bilag A har fire kontroller om leverandørforhold. Navnene lyder i vores oversættelse: 5.19 informationssikkerhed i leverandørforhold, 5.20 informationssikkerhed i leverandøraftaler, 5.21 styring af informationssikkerhed i IKT-forsyningskæden og 5.22 overvågning, gennemgang og ændringsstyring af leverandørydelser. Vi gengiver kun navnene. Indholdet står i den betalte standard.
Er I ikke omfattet af nogen af delene, er de en brugbar målestok, ikke et krav.
Det, politikken bør indeholde
Ud fra kilderne ovenfor kan en politik for leverandørstyring samles i syv punkter. Opstillingen er vores egen.
- Ejerskab. Hvem der ejer hver leverandør internt, og hvem der kontrollerer sikkerhedskravene.
- Klassificering. Hvordan leverandører rangeres efter data, adgang og afhængighed.
- Krav før valg. Hvilke kriterier en ny leverandør vurderes på.
- Aftalens minimum. Sikkerhedskrav, hændelser, underleverandører, revisionsret og ophør.
- Kontrolformer. Hvilken kontrol hver klasse får, og hvor ofte.
- Ændringer. Hvad der udløser fornyet vurdering, fx opkøb eller ny underleverandør.
- Afslutning. Tilbagelevering, sletning og lukning af adgange.
Hvor auditten hører hjemme
Statens vejledning nævner en række kontrolformer i styringsfasen: statusmøder, skriftlig rapportering, tilsyn hos leverandøren, leverandørens egen kontrol, ekstern audit ved kunden eller en uvildig tredjepart, IT-revision ved certificerede revisorer og beredskabsøvelser. Auditten er den mest krævende af dem.
Derfor hører den hjemme hos de få leverandører, hvor klassificeringen viser høj risiko, og hvor erklæringer eller spørgeskemaer ikke dækker det, I har brug for at vide. Hvordan de udvælges, står i hvilke leverandører skal auditeres. For resten kan rapportering, et skema eller en læst erklæring være nok.
Politikken er samtidig auditkriteriet. Står det i politikken, at kritiske leverandører auditeres hvert år, kan en audit af jeres egen styring prøve, om det er sket. Den vinkel, hvor den NIS 2-omfattede virksomhed selv får sin styring efterset, er beskrevet under audit af leverandørstyringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet politik, en klassificering af leverandørerne og en plan for, hvem der kontrolleres hvordan. Det kræver også, at nogen har tid til at følge planen, når kontrakterne er underskrevet.
Uden styring bliver kontrollen tilfældig. De leverandører, der svarer hurtigt, får opmærksomheden, og de vigtigste kan gå år uden opfølgning.
Det skal I lade være med
- At sætte lighedstegn mellem leverandørstyring og audit · auditten er ét redskab blandt flere.
- At auditere alle leverandører ens · indsatsen skal følge klassificeringen.
- At skrive en politik, ingen kan kontrollere · punkterne skal kunne besvares med ja eller nej.
Det skal auditten kunne vise
- ☐ En godkendt politik for leverandørstyring med dato.
- ☐ En klassificering af leverandørerne med begrundelse.
- ☐ Aftaler med revisionsret eller ret til auditrapporter hos de vigtigste.
- ☐ En plan for kontrolformer pr. klasse, og at den er fulgt.
- ☐ Fornyet vurdering efter væsentlige ændringer hos leverandørerne.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1-6, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget punkt 5.1, læst 12. november 2026.
- ISO/IEC 27002:2022, indholdsfortegnelsen i den officielle prøveudgave, kontrol 5.19 til 5.22, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs jeres nuværende politik mod de syv punkter, og notér, hvilke der mangler.
Læs også: Indkøb og IT-kontraktejer · Sikkerhedsbilaget som auditgrundlag
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
