Flere af jeres leverandører kan bygge på samme datacenter, samme cloudtjeneste eller samme softwareproducent. Holder I erklæringer og underleverandørlister op mod hinanden, kan det fælles led blive synligt, og så kan I vurdere, om én fejl ét sted kan ramme flere af jeres ydelser på én gang.
Artiklen er skrevet til kunden. Metoden er praksis, og ingen kilde beskriver den. Reglerne om koncentration gælder for finansielle virksomheder, og de øvrige kilder taler om leverandørafhængighed.
Hvorfor det fælles led betyder noget
Hver leverandør kan være kontrolleret og godkendt for sig. Risikoen ligger i summen. Et tænkt eksempel: jeres økonomisystem, jeres e-mail og jeres backup leveres af tre forskellige firmaer, men alle tre har driften i samme datacenter. Rammes datacentret, mister I alle tre samtidig, og det fremgår ikke af nogen af de tre kontrakter.
Det fælles led findes sjældent i jeres egne kontrakter, fordi I ikke har aftale med det. Det står i det materiale, leverandørerne giver jer.
Det, reglerne siger
Finansielle virksomheder. DORA artikel 29, stk. 1, kræver, at en finansiel virksomhed ved aftaler om kritiske eller vigtige funktioner vurderer, om aftalen fører til udlicitering til en udbyder, der ikke er let at erstatte, eller til flere aftaler med samme eller tæt forbundne udbydere. Stk. 2 handler om underentreprise og nævner, hvordan lange eller komplekse kæder kan påvirke virksomhedens evne til at overvåge det udliciterede.
Delegeret forordning 2025/532 om underentreprise går et led længere ned. Efter artikel 1, litra j, tager virksomheden hensyn til, om tjenesterne er koncentreret hos én eller få underleverandører til leverandøren. Efter artikel 3, stk. 1, litra b, skal leverandøren kunne identificere alle underleverandører til de kritiske eller vigtige funktioner og underrette virksomheden.
NIS 2-omfattede virksomheder. Gennemførelsesforordning 2024/2690 nævner i bilagets punkt 5.1.2 evnen til at sprede forsyningskilderne og begrænse fastlåsning til leverandører, hvor det er relevant, som et kriterium for valg af leverandører. Den gælder for de digitale enheder, forordningen omfatter. Styrelsen for Samfundssikkerheds NIS 2-vejledning fra juni 2025 nævner blandt eksemplerne på udvælgelseskriterier muligheden for at vælge en alternativ leverandør og begrænse leverandørafhængighed, og leverandørens økonomi og geopolitiske risici. Vejledningen bruger ikke ordet koncentration.
For andre virksomheder er der ingen regel. Spørgsmålet om fælles led er alligevel relevant for jeres egen risikovurdering.
Hvor det fælles led kan ses
Tre kilder i auditmaterialet kan efter en tolkning bruges til at finde fælles led.
Erklæringerne. En ISAE 3402-systembeskrivelse beskriver underleverandørens ydelser, også når underleverandøren er udeladt efter carve-out-metoden. Kontrollerne er udeladt, men ydelsen er beskrevet, og det giver jer grundlag for at spørge, hvem der leverer den.
Databehandleraftalerne. Datatilsynets skabelon har et bilag B med de godkendte underdatabehandlere pr. behandlingsaktivitet. Er skabelonen brugt, har I listen for hver leverandør.
Leverandørernes egne lister. Det Europæiske Databeskyttelsesråd skrev i udtalelse 22/2024, oversat fra engelsk, at den dataansvarlige bør kunne se identiteten på alle led. Bed om listen, hvis den mangler.
Metoden
Fremgangsmåden herunder er praksis.
- Saml for hver leverandør systembeskrivelsen, bilag B og listen over underleverandører.
- Skriv for hvert led ned, hvem det er, hvad det leverer, hvor det leverer fra, og hvilken af jeres ydelser det indgår i.
- Sortér listen efter underleverandør. Står samme navn under flere leverandører, har I et fælles led.
- Vurdér for hvert fælles led, hvilke af jeres ydelser der rammes, hvis det fejler, om de kan fejle samtidig, og om I har et alternativ.
- Før vurderingen ind i jeres risikovurdering, og forelæg de væsentlige fund for ledelsen.
Brug kategorier, når navnene ikke kan sammenlignes. To leverandører kan bruge samme cloudtjeneste i forskellige regioner. Det er et fælles led for nogle hændelser og ikke for andre.
Hvad I kan gøre ved det
Et fælles led er en risiko, I selv ejer. Ingen af leverandørerne har nødvendigvis gjort noget forkert. Mulige reaktioner er at acceptere risikoen med en begrundelse, at bede en leverandør om en anden lokation eller underleverandør ved næste fornyelse, at sikre en reserveløsning eller at sprede en kritisk ydelse på to leverandører. Valget er en forretningsbeslutning. Se risikoen, I ikke selv kan fjerne.
Fælles led ændrer sig, når leverandørerne skifter underleverandører. Gentag sammenstillingen, når der kommer nye lister eller erklæringer, og efter ændringer som beskrevet i opkøb, ny underleverandør eller flyttet drift.
Hvad det kræver, og hvad det koster at lade være
Det kræver erklæringer og underleverandørlister fra alle væsentlige leverandører, et regneark eller register og en person, der holder det opdateret.
Uden sammenstillingen opdager I det fælles led, når det fejler. Så er flere ydelser nede på én gang, og ingen af leverandørerne har ansvar for det samlede billede.
Det skal I lade være med
- At vurdere hver leverandør isoleret · risikoen ligger i summen.
- At springe udeladte underleverandører over i erklæringen · ved carve-out er deres ydelse stadig beskrevet.
- At bruge navngivne cloudtjenester som målestok for, hvad der er acceptabelt · vurderingen afhænger af jeres egne ydelser.
Det skal auditten kunne vise
- ☐ En samlet liste over underleverandører på tværs af jeres leverandører med ydelse og lokation.
- ☐ En vurdering af hvert fælles led og de ydelser, det påvirker.
- ☐ Ledelsens beslutning om de væsentlige fælles led.
- ☐ En dato for seneste opdatering af sammenstillingen.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 29, læst 12. november 2026.
- Delegeret forordning (EU) 2025/532, artikel 1 og 3, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.1.2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- IAASB, ISAE 3402 (Handbook 2013), afsnit 9, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag B, læst 12. november 2026.
- Det Europæiske Databeskyttelsesråd, Opinion 22/2024, 7. oktober 2024, Executive summary, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml underleverandørlisterne fra jeres vigtigste leverandører i ét register, og sortér efter underleverandør.
Læs også: Er underleverandørens kontroller med i erklæringen? · Ét billede af alle leverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
