To statslige afsendere, Center for Cybersikkerhed og Digitaliseringsstyrelsen, står bag vejledningen “Cybersikkerhed i leverandørforhold”. Den deler forholdet til en IT-leverandør i seks faser fra planlægning til afslutning. For en virksomhed, der vil kontrollere sine leverandører, er den femte fase, styringen, den mest brugbare. Den beskriver, hvordan kontrollen planlægges, udføres, dokumenteres og følges op.
Vejledningen er 2. udgave fra maj 2022. Den henvender sig primært til statslige myndigheder, men skriver selv, at den også kan anvendes af virksomheder, der har besluttet at outsource deres IT. Dens anbefalinger er formuleret med “bør” og er ikke krav.
De seks faser
Vejledningen har nummererede anbefalinger i seks faser:
- Planlægning (anbefaling 1.1 til 1.5)
- Kravstillelse (2.1 til 2.3)
- Leverandørvalg (3.1)
- Aftalen (4.1 til 4.2)
- Styring (5.1 til 5.5)
- Afslutning (6.1)
De fire første faser ligger før kontrakten. De giver kontrollen et grundlag, fordi de krav, der stilles i fase 2 og skrives ind i fase 4, er dem, der senere kan auditeres imod. Fase 6 handler om ophør og om at få aktiver og adgange tilbage.
Styringsfasen som auditprogram
Fase 5 kan læses som et auditprogram i fem trin.
5.1 Dokumentér behovet for kontrol. Leverandørerne bør rangeres efter deres betydning for forretningen, så de vigtigste kontrolleres tættest og oftest. Som parametre peger vejledningen på følsomhed og mængde af data, forretningskritiske systemer, kritisk infrastruktur, om leverancen er standardiseret eller specialiseret, datas geografiske placering, leverandørens driftsansvar og adgangsrettigheder, fejl og hændelser og leverandørens vilje til at samarbejde. Resultatet er en prioriteret liste og en tilsynsplan.
5.2 Udpeg en rolle. Ansvaret for leverandørstyringen bør ligge hos en bestemt rolle hos kunden, og leverandøren bør have en tilsvarende kontaktperson.
5.3 Før løbende kontrol. Kontrollen bør tage udgangspunkt i kontrakten og ske efter behov. Ved afvigelser bør kunden straks følge op og håndhæve kontrakten. Det, der er kontrolleret, bør skrives ned, så det kan bruges, hvis kontrakten senere skal håndhæves.
5.4 Vurdér risici sammen med leverandøren. Risikovurderinger bør laves med input fra leverandøren og opdateres mindst årligt og ved væsentlige hændelser, ændringer og tilsyn. Parterne bør aftale fælles handleplaner.
5.5 Følg op på ændringer og hændelser. Kontrakten bør gennemgås mindst én gang om året.
Kontrolformerne
Vejledningen giver eksempler på kontrol og opfølgning hos leverandøren. Listen spænder fra lette til omfattende former:
- faste statusmøder
- rapporter på skrift fra leverandøren
- varslede eller uanmeldte besøg på stedet
- leverandørens egen interne audit eller egenkontrol
- en ekstern audit, som kunden selv eller en uvildig tredjepart udfører
- revision udført af certificerede it-revisorer
- øvelser i beredskab
- sikkerhedstekniske test, fx penetrationstest
Ved vigtige møder bør der tages et referat, som begge parter godkender. Det er et lille punkt med stor værdi i en senere uenighed, fordi referatet viser, hvad parterne var enige om.
Afslutningen hører med
Fase 6 har kun én anbefaling, men den er vigtig for kontrollen. Leverandørens aflevering og bortskaffelse af kundens aktiver bør være beskrevet i aftalen, så formatet, fuldstændigheden, dokumentationen og kontrollen af resultatet ligger fast. Vejledningen anbefaler en fuld fortegnelse over aktiverne, backup medregnet, og at leverandørens adgange lukkes i tide, når samarbejdet ophører. En audit ved ophør kan bruge netop de punkter som kriterier.
Bilagene, der er værd at kende
Bilag 2, “Husk forsyningskæden”, anbefaler, at kontrakten kræver kundens godkendelse af underleverandører, at de samme sikkerhedskrav føres videre, og at leverandøren selv holder øje med sine underleverandører og kan vise kunden, hvilke tilsyn der er ført.
Bilag 4 giver et eksempel på roller hos kunden: ledelse, sikkerhedskoordinator, kontraktansvarlig, jura, system- og dataejere, it-ansvarlig og databeskyttelsesrådgiver. Bilag 5 handler om at skrive krav efter SMART-princippet, så de kan måles.
Bilag 3 om Statens It gælder kun staten og er ikke relevant for private.
Sådan bruger en privat virksomhed den
Vejledningen giver en sammenhængende ramme, som ingen lov kræver af en privat virksomhed. Det følgende er vores forslag til brug.
- Brug parametrene i 5.1 til at sortere leverandørerne i grupper.
- Vælg kontrolform pr. gruppe fra listen over eksempler.
- Læg den årlige gennemgang af kontrakten og risikovurderingen i samme kalender.
- Brug bilag 2 som tjekliste ved næste kontraktforhandling.
Er virksomheden omfattet af NIS 2 eller arbejder med personoplysninger, kommer de krav oveni. Vejledningen kan så bruges til at strukturere arbejdet med dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig for leverandørstyringen, en prioriteret liste over leverandører og en plan for, hvilken kontrol hver får. Det kræver også, at kontrollen dokumenteres, mens den foregår.
Uden en ramme bliver kontrollen tilfældig. Nogle leverandører får for meget opmærksomhed, andre ingen, og når en afvigelse skal håndhæves, mangler dokumentationen.
Det skal I lade være med
- At citere vejledningens anbefalinger som lovkrav · den bruger “bør”.
- At kontrollere alle leverandører ens · 5.1 lægger op til at prioritere.
- At holde vigtige møder uden referat · det fælles referat er bevis senere.
Det skal auditten kunne vise
- ☐ En prioriteret liste over leverandører efter parametrene i 5.1.
- ☐ En tilsynsplan med kontrolform pr. leverandør.
- ☐ En udpeget ansvarlig hos jer og en modpart hos hver vigtig leverandør.
- ☐ Dokumentation for udført kontrol og opfølgning på afvigelser.
- ☐ En årlig gennemgang af kontrakt og risikovurdering.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 2-7, fase 5 og 6 samt bilag 2, 4 og 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sortér jeres leverandører efter parametrene i anbefaling 5.1, og vælg en kontrolform til hver gruppe.
Læs også: Indkøb, IT eller kontraktejer · Hvilke leverandører skal auditeres?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
