En overvågningstjeneste kontrolleres som enhver anden leverance: mod det, der er aftalt. Fire spørgsmål bærer auditten. Svarer tjenesten inden for den aftalte tid? Er vagten bemandet, som lovet, også om natten og i ferier? Får I de rapporter, aftalen beskriver? Og virker tjenesten, når den bliver afprøvet?
Det særlige ved typen er, at tjenesten selv er en sikkerhedskontrol. Fejler den, er der ikke nødvendigvis noget, der fortæller jer det, for dens opgave er netop at opdage.
Hvad der gælder for typen
Administrerede sikkerhedstjenester står blandt de ydelser, artikel 1 i gennemførelsesforordning (EU) 2024/2690 omfatter. Digitaliseringsstyrelsens spørgsmål og svar om NIS 2 bemærker, at en ren konsulentydelse ikke i sig selv gør en virksomhed til udbyder. Spørg derfor leverandøren, om den regner sig selv for omfattet. Svaret siger noget om, hvilke krav den selv arbejder under.
Energistyrelsens vejledning om leverandørstyring for energisektoren nævner sikkerhedstjenester, herunder overvågning, hændelseshåndtering og penetrationstest, blandt de leverancer, der kræver krav i aftalen.
Hos en finansiel kunde kræver DORA i artikel 30, stk. 3, litra a og c, at aftaler om kritiske eller vigtige funktioner indeholder præcise kvantitative og kvalitative præstationsmål og krav om at gennemføre og teste beredskabsplaner. For andre kunder kan det bruges som model.
Præcise mål er forudsætningen
Statens leverandørvejledning anbefaler krav efter SMART-princippet og tidsangivelser i minutter, timer eller dage. Ord som regelmæssigt og jævnligt frarådes.
For en overvågningstjeneste er det afgørende. “Leverandøren reagerer hurtigt på alarmer” kan ikke kontrolleres. En aftale med en reaktionstid pr. alvorsgrad kan. Ingen regel fastsætter tallene. Det er jeres valg, og de skal stå i aftalen, før auditten kan måle dem.
De fire kontrolpunkter
Kontrolpunkterne er praksis.
Reaktionstid. Bed om en liste over alarmer i en periode med tidspunkt for alarm, tidspunkt for første handling og tidspunkt for besked til jer. Tag en stikprøve, og hold tiderne op mod aftalen.
Vagtbemanding. Bed om vagtplanen for en uge, der inkluderer nat og weekend. Spørg, hvordan vagten dækkes ved sygdom og ferie, og om der er en ansvarlig, der kan eskalere uden for normal arbejdstid.
Rapportering. Sammenlign de rapporter, I har modtaget, med dem, aftalen beskriver. Er de kommet til tiden, og indeholder de det, der er aftalt? Læser nogen hos jer dem?
Afprøvning. En almindelig fremgangsmåde er at aftale en prøve: en hændelse, I kender til på forhånd, og som tjenesten burde opdage. Notér, om den blev opdaget, hvornår, og hvordan I fik besked.
Afprøvningen kræver aftale
En afprøvning af overvågningen skal aftales med leverandøren og planlægges, så den ikke forveksles med en virkelig hændelse. Den behøver ikke være avanceret. Et tænkt eksempel: Jeres IT-ansvarlige logger på en administratorkonto fra et usædvanligt sted uden for arbejdstid, som det er aftalt med leverandøren. Tjenesten opdager det, men opkaldet kommer først, efter at den aftalte reaktionstid er overskredet. Det er et konkret fund at drøfte.
Hvilke logkilder overvågningen ser, og hvordan de er sat op, er tekniske kontrolpunkter, som behandles under de tekniske kontrolpunkter. Overvågningens plads i den samlede sikkerhedsmodenhed over tid er behandlet under sikkerhedsmodenhed.
Hvem gør hvad, når alarmen går
En overvågningstjeneste opdager og giver besked. Hvem der derefter handler, varierer fra aftale til aftale. Nogle tjenester må selv isolere en computer eller spærre en konto. Andre må kun ringe. Kontrollér, at aftalen siger det klart, og at begge parter har samme forståelse. Spørg tjenesten, hvem den ringer til hos jer om natten, og prøv nummeret. Et telefonnummer, der går til en medarbejder, som er stoppet, er et fund, der er let at rette og alvorligt at overse.
Hvad tjenesten ikke ser
Spørg også, hvad tjenesten ikke dækker. En overvågning kan dække servere og net uden at dække jeres cloudtjenester, eller omvendt. Bed leverandøren om en liste over de systemer, der sender data til tjenesten, og hold den op mod jeres egen liste over vigtige systemer. Et hul i dækningen kan veje tungere end en langsom reaktion.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale med målbare tider, adgang til leverandørens alarmlog og tid til en afprøvning om året. Gennemgangen kan ofte klares på et møde og en planlagt prøve.
Uden kontrol betaler I for en tjeneste, I ikke ved, om virker. Det viser sig først den dag, en virkelig hændelse glider forbi.
Det skal I lade være med
- At acceptere “hurtig reaktion” som aftalt mål · skriv reaktionstider pr. alvorsgrad ind.
- At lade rapporterne ligge ulæste · de er en del af det, I betaler for.
- At afprøve tjenesten uden aftale · prøven skal planlægges med leverandøren.
Det skal auditten kunne vise
- ☐ Aftalens reaktionstider, bemanding og rapporteringskrav.
- ☐ Stikprøve af alarmer med tidspunkter for opdagelse, handling og besked.
- ☐ Vagtplan for en uge med nat og weekend.
- ☐ Modtagne rapporter holdt op mod aftalen.
- ☐ Resultatet af en aftalt afprøvning.
- ☐ Liste over systemer, tjenesten dækker, holdt op mod jeres egne vigtige systemer.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1, 6. juli 2026, s. 5-7, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, bilag 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find reaktionstiderne i jeres aftale, og bed leverandøren om alarmloggen for den seneste måned.
Læs også: Audit af driftsleverandøren · Mellem to audits
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
