Når auditten finder en svaghed, som kun leverandøren kan rette, og leverandøren ikke vil eller kan, står risikoen alligevel hos jer. Det er jeres ledelse, der beslutter, om risikoen kan accepteres, og beslutningen bør dokumenteres med en begrundelse, en frist for ny vurdering og de aftalepunkter, accepten skal føre til.
Risikoaccept i almindelighed er beskrevet under risikoaccept i den almene metode, og ledelsens risikostyring over tid under modenhed og ledelsesrapportering. Her handler det om accept af en andens mangel.
Hvem der ejer risikoen
Det er kunden, der efter sin risikovurdering beslutter, hvilke risici der kan accepteres. Det anbefaler statens vejledning om leverandørforhold. Vejledningens eksempel på roller giver ledelsen opgaven at godkende risikovurderinger og risikohåndteringsplaner.
For finansielle virksomheder er ejerskabet skrevet direkte i loven. Efter DORA artikel 28, stk. 1, litra a, har den finansielle enhed til enhver tid det fulde ansvar, også når en leverandør leverer. Den delegerede forordning 2025/532 siger i artikel 3, stk. 3, at brug af leverandørens egen vurdering af underleverandørerne ikke må begrænse enhedens ansvar. For andre virksomheder er det en målestok, der peger samme vej.
Hvad der kan accepteres
Forordning 2024/2690 giver de digitale enheder, den omfatter, to veje efter den uafhængige gennemgang: at rette op eller at acceptere den risiko, der er tilbage, ud fra enhedens egne kriterier (bilag, punkt 2.3.3). Accept er altså en anerkendt mulighed, når den sker efter faste kriterier.
Er I omfattet af NIS 2, er der en grænse. § 6, stk. 2, kræver, at en mangel over for minimumskravene i stk. 1 bliver rettet uden unødigt ophold. Efter lovens ordlyd kan en risikoaccept ikke gøre et manglende minimumskrav lovligt. Det er vores tolkning, og den betyder, at ledelsen ikke kan acceptere at være i strid med loven. Ligger fundet hos leverandøren og rammer et minimumskrav, skal I finde en anden vej, fx en kompenserende foranstaltning hos jer selv eller et skift af leverandør.
Det, I selv kan gøre ved risikoen
Selv om fundet kun kan rettes hos leverandøren, kan I ofte gøre risikoen mindre på jeres side. Det er praksis og afhænger af fundet. Mangler leverandøren logning, kan I logge adgangen fra jeres egne systemer. Har leverandøren for brede adgange, kan I begrænse, hvilke data der overhovedet sendes til leverandøren. Er gendannelsen ikke testet, kan I tage en ekstra kopi af de vigtigste data selv.
Kompenserende kontroller fjerner ikke fundet. De ændrer den risiko, ledelsen tager stilling til, og de skal derfor stå i accepten.
Accepten skrevet ned
En accept, ingen kan finde, kan ikke vises til nogen. Det følgende er praksis.
- Hvilket fund accepten gælder, med henvisning til auditrapporten.
- Hvorfor fundet ikke rettes: leverandøren afviser, rettelsen er teknisk umulig, eller den tager længere tid end aftalt.
- Hvilken risiko der står tilbage, og hvem den rammer.
- Hvilke kompenserende kontroller I selv har sat ind.
- Hvem i ledelsen der har accepteret, og hvornår.
- Hvornår accepten vurderes igen.
Den sidste linje er vigtig. En accept uden udløbsdato bliver permanent af sig selv.
Hvad accepten bør føre til i aftalen
Accepten er en beslutning om at leve med noget. Den bør samtidig udløse en drøftelse med leverandøren af, hvordan risikoen bliver mindre næste gang. Hvilke punkter det skal være, er praksis. DORA artikel 30, stk. 2 og 3, og RTS 2024/1773 artikel 9 og 10 kan bruges som tjekliste, også af virksomheder, de ikke gælder for.
- En frist. Leverandøren forpligter sig til at rette inden for en bestemt tid, selv om det ikke kan ske nu.
- Varsling. Leverandøren underretter jer, hvis forholdet bliver værre, eller hvis der sker en hændelse, der hænger sammen med fundet.
- En ny audit. Fundet kontrolleres igen på et aftalt tidspunkt.
- Exit. Aftalen indeholder en exitplan og ret til at opsige, hvis forholdet ikke bliver rettet. RTS 2024/1773 artikel 10 kræver en dokumenteret exitplan for finansielle virksomheder.
Når leverandøren er for stor til at forhandle med
Ved en stor standardleverandør er genforhandling sjældent mulig. Så er accepten og jeres egne kompenserende kontroller det, der er tilbage. Notér det i accepten, og læg vægt på den næste vurdering. Gentagne accepter af samme fund er et signal, ledelsen bør se samlet.
Hvad det kræver, og hvad det koster at lade være
Det kræver kriterier for risikoaccept, en ledelse, der tager stilling, og en kontraktansvarlig, der bringer accepten videre til næste forhandling med leverandøren.
Uden en dokumenteret accept ligger risikoen hos jer, uden at nogen har besluttet det. Det er svært at forsvare over for en tilsynsmyndighed eller jeres egen bestyrelse, hvis en hændelse sker.
Det skal I lade være med
- At lade fundet stå åbent uden beslutning · så er risikoen accepteret ved passivitet.
- At acceptere et brud på et lovkrav · accept kan ikke gøre en mangel lovlig.
- At acceptere uden en dato for ny vurdering · accepten bliver permanent.
Det skal auditten kunne vise
- ☐ En skriftlig accept pr. fund med begrundelse og resterende risiko.
- ☐ Kompenserende kontroller hos jer.
- ☐ Ledelsens godkendelse med navn og dato.
- ☐ En dato for ny vurdering.
- ☐ De aftalepunkter, accepten har ført til, eller en note om, at genforhandling ikke var mulig.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.4 og bilag 4, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 2.3.3, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28 og 30, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 9 og 10, læst 12. november 2026.
- Delegeret forordning (EU) 2025/532, artikel 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de fund hos leverandørerne, der har stået åbne længst, og få ledelsen til at tage stilling til hvert.
Læs også: Audit af en leverandør, der er langt større end jer · Ét billede af alle leverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
