Leverandøren af styringer, automation og produktionsudstyr kommer ind i jeres drift på to måder: gennem fjernadgang og gennem de teknikere, der møder op med bærbare computere og servicekuffert. En audit af OT-leverandøren som virksomhed handler om leverandørens egne rutiner på begge veje: hvordan fjernadgangen er styret og tidsbegrænset, hvilke krav teknikerne og deres udstyr skal opfylde, og hvordan leverandøren sikrer, at en opdatering ikke bringer nye sårbarheder ind.
Jeres egne konti, net og logs i anlægget er et andet emne. Her handler det om leverandøren.
Hvad Styrelsen for Samfundssikkerhed peger på
Myndighedens NIS 2-vejledning om foranstaltninger gør det klart, at leverandørstyring ikke stopper ved it-produkter. Den omfatter også kritiske leverancer af anden art, og vejledningen nævner selv strøm og teknisk bistand.
Vejledningen har et eksempel med en produktionsvirksomhed, som myndigheden selv har formuleret. Det spørger, om leverandører af produktionsudstyr og automation er vurderet sikkerhedsmæssigt, og hvordan det sikres, at leverandører, der opdaterer produktionssystemer, ikke utilsigtet bringer sårbarheder ind. Eksemplet spørger også, om eksterne parters adgang er segmenteret og kontrolleret med mindste privilegium, nul tillid og tidsbegrænset adgang.
Det er tre gode spørgsmål til en OT-leverandør, uanset om I selv er omfattet af NIS 2.
Et sektoreksempel: energiselskaberne
Energistyrelsens leverandørvejledning (version 1.1 af 6. juli 2026) gælder kun virksomheder i energisektoren på niveau 2 til 5. Den gengiver bekendtgørelse nr. 260 af 6. marts 2025, som ikke er læst direkte til denne artikel. Det følgende er derfor vejledningens beskrivelse.
Ifølge vejledningen kræver bekendtgørelsen en procedure for styring af fjernadgange for direkte leverandører med adgang til forsyningskritiske systemer, og procedurerne skal fremgå af leverandøraftalen. Reglerne om adgangsstyring gælder også for leverandørerne, fx tidsbegrænset adgang og adgang efter arbejdsbetinget behov. Aftalen skal bl.a. sikre underretning om hændelser, leverandørens deltagelse i øvelser og i Energistyrelsens tilsyn, kriterier for underleverandører og ejerskab til data. Leverandøren skal kunne dokumentere, at den overholder kravene.
Energistyrelsen kan ikke selv føre tilsyn med leverandøren. Den kan påbyde virksomheden at sikre, at leverandøren lever op til bestemmelserne. Vejledningen nævner kontrolbesøg eller audits hos leverandøren som noget, der for nogle virksomheder kan give mening.
For OT-kunder uden for energisektoren er eksemplet nyttigt som en model for, hvad aftalen kan rumme. Offentlige forsyninger har deres egne forhold, som behandles under offentlige IT-kunder.
Kontrolpunkterne
Ordene medbragt udstyr og servicetekniker står ikke i de læste kilder. Kontrolpunkterne nedenfor er praksis, afledt af kravene om adgangsstyring og fysisk adgang. Det er en tolkning.
- Fjernadgang · Hvordan adgangen åbnes, hvem der godkender, hvor længe den står åben, og hvordan den logges
- Personer · Hvem hos leverandøren der kan få adgang til jeres anlæg, og hvordan listen holdes ajour
- Teknikernes udstyr · Hvordan servicecomputere er beskyttet, opdateret og scannet, før de tilsluttes hos kunder
- Opdateringer · Hvordan leverandøren tester og dokumenterer en opdatering, før den installeres hos jer
- Underleverandører · Om leverandøren sender egne underleverandører til jeres anlæg
- Hændelser · Hvordan leverandøren giver besked, hvis dens egne systemer eller udstyr har været kompromitteret
Punktet om teknikernes udstyr er særligt for typen. En servicecomputer, der bruges hos mange kunder, kan bære noget fra én virksomhed til en anden.
Når teknikeren står i hallen
Et besøg af en servicetekniker er hverdag i en produktionsvirksomhed. Netop derfor er det værd at spørge leverandøren, hvad dens egen rutine siger. Bliver besøget anmeldt på forhånd? Ved teknikeren, hvem hos jer der skal godkende, at udstyr tilsluttes? Medbringes der USB-nøgler eller andre lagermedier, og hvordan er de kontrolleret?
Sammenhold svarene med jeres egen rutine for besøgende. Leverandørens rutine og jeres skal passe sammen, ellers falder ansvaret mellem to stole. Hvordan andre besøgende med adgang til bygning og udstyr kontrolleres, er beskrevet under leverandører uden IT-leverance.
Spørg efter leverandørens egen hændelse
Et nyttigt spørgsmål er, hvad der sker, hvis leverandøren selv bliver ramt. Har den adgang til mange kunders anlæg fra samme system, kan et angreb på den blive et angreb på jer. Bed om leverandørens plan for at lukke kundeadgange hurtigt og give besked.
Et tænkt eksempel: Leverandørens fjernadgangsværktøj er fælles for alle kunder og står åbent hele tiden for at gøre support hurtig. Det er fundet. En tidsbegrænset adgang, som I åbner ved behov, er den løsning, både Styrelsen for Samfundssikkerheds eksempel og Energistyrelsens vejledning peger i retning af.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale, der nævner fjernadgang, krav til teknikere og udstyr og underretning om hændelser, og et møde, hvor leverandøren viser sine rutiner. Hos en lille leverandør kan det være en enkel gennemgang.
Uden kontrol er OT-leverandøren en vej ind i anlæg, der styrer fysiske processer. Konsekvensen af en fejl kan være stop i produktionen.
Det skal I lade være med
- At lade fjernadgang stå åben hele tiden · åbn den ved behov og luk den igen.
- At gå ud fra, at teknikernes computere er rene · spørg, hvordan leverandøren sikrer det.
- At bruge energisektorens regler som krav uden for sektoren · brug dem som model.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelser om fjernadgang, teknikere og udstyr.
- ☐ Leverandørens procedure for åbning, godkendelse og lukning af fjernadgang.
- ☐ Liste over personer hos leverandøren med adgang til anlægget.
- ☐ Leverandørens rutine for beskyttelse af servicecomputere.
- ☐ Dokumentation for test af seneste opdatering før installation.
- ☐ Leverandørens plan for at lukke kundeadgange ved en egen hændelse.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1, 6. juli 2026, s. 5-13, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed OT-leverandøren vise, hvordan fjernadgangen til jeres anlæg åbnes og lukkes, og hvem der kan bruge den.
Læs også: Konsulenter og freelancere med adgang · Leverandør til el, gas og varme
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
