Ansvaret kan ikke outsources: når driften ligger hos en leverandør

Nogle virksomheder har lagt IT-driften hos en leverandør, og det kan være en klog beslutning. Men en udbredt antagelse følger med: at leverandøren også har overtaget ansvaret for sikkerheden. Svaret er, at arbejdet kan købes, men ansvaret for, at virksomheden er forsvarligt beskyttet, bliver hos ledelsen. Det hviler både på den almindelige forventning til en ledelse og på, hvordan leverandørerne selv beskriver deres rolle. For ledelsen betyder det, at kontrakten, opfølgningen og en uafhængig kontrol bliver vigtigere, ikke mindre vigtige, når driften er købt ude.

Hvad der flytter, og hvad der bliver

Når driften flyttes ud, flytter de daglige opgaver: opdateringer, overvågning, backup, oprettelse af brugere. Leverandøren påtager sig at udføre dem efter aftalen. Det, der bliver hos virksomheden, er valget af leverandør, indholdet af aftalen, beslutningen om, hvad der er vigtigt, og opfølgningen på, om det bliver gjort.

Store cloududbydere siger det selv. Microsoft skriver i sin beskrivelse af delt ansvar, at kunden uanset tjenestetype ejer sine data og identiteter og har ansvaret for at beskytte dem, ligesom kunden altid bevarer ansvaret for egne enheder, konti og styring af adgange. Hvis selv udbyderen af platformen lægger dele af ansvaret hos kunden, gælder det også i forholdet til en lokal driftsleverandør, medmindre aftalen tydeligt siger andet.

Selve myten om, at hostingfirmaet har styr på det hele, er gennemgået på https://penetrationtest.dk/. Her handler det om, hvad ledelsen gør ved det.

Billedet bliver mere uoverskueligt, når der er flere leverandører. En står for netværket, en anden for økonomisystemet, en tredje for hjemmesiden, og Microsoft 365 er måske sat op af en fjerde. Hver af dem har ansvaret for sin del, men ingen af dem har ansvaret for helheden. Det har kun ledelsen. Derfor bør ledelsen have en enkel oversigt over, hvem der leverer hvad, og hvem i virksomheden der følger op på hver leverandør.

Fem ting, ledelsen bevarer

Selv med en god leverandør er der opgaver, som ledelsen ikke kan lægge fra sig.

Valget · hvilken leverandør, og på hvilket grundlag? Er sikkerhed en del af vurderingen, eller kun pris og service?
Aftalen · hvad har leverandøren påtaget sig, og hvad står der ikke? Det, der ikke står, er sandsynligvis jeres.
Prioriteringen · hvad er vigtigst for forretningen, og ved leverandøren det? → Kronjuvelerne
Kontrollen · hvordan ved ledelsen, at det aftalte bliver gjort, og at det virker?
Beslutningerne · når der er en svaghed, hvem beslutter så, om den skal rettes, og hvem betaler?

Den britiske kodeks for ledelse af cyberrisici lægger op til, at ledelsen sikrer sig, at oplysninger om leverandører vurderes regelmæssigt og i forhold til risikoen, og at virksomheden kan modstå de risici, der følger med leverandører og samarbejdspartnere.

Kontrakten er ledelsens redskab

Den vigtigste mulighed for at påvirke leverandøren er aftalen. Nogle driftsaftaler handler om oppetid og svartider, men siger lidt om sikkerhed. Ledelsen bør sikre sig, at aftalen mindst forholder sig til fire ting.

Ansvarsfordelingen · hvilke sikkerhedsopgaver ligger hos leverandøren, og hvilke hos jer?
Rapporteringen · hvad får ledelsen at vide om sikkerheden, og hvor ofte?
Retten til test · må virksomheden lade en uafhængig part teste de systemer, leverandøren driver, og på hvilke vilkår?
Rettelserne · hvem retter fund fra en test, inden for hvilken tid, og hvordan betales der?

Uden retten til test kan ledelsen stå i den situation, at den ønsker et uafhængigt billede, men ikke har adgang til at få det. → IT-kontrakten og sikkerhedstesten

Teksten er ikke juridisk rådgivning. Hvordan ansvar og pligter er fordelt i jeres aftale, afhænger af aftalens ordlyd.

Hvorfor en uafhængig test er særlig nyttig her

Når driften er hos en leverandør, kommer det meste af ledelsens viden om sikkerheden fra leverandøren selv. Det er ikke et udtryk for mistillid at ønske et andet blik. Det er almindelig god kontrol, på samme måde som en virksomhed får regnskabet revideret, selv om bogholderen er dygtig. En god leverandør kan også se det som en fordel, fordi en test kan bekræfte det, der virker, og give et fælles grundlag for at prioritere resten.

En uafhængig test kan vise, om det, leverandøren har lovet, holder i praksis. Den kan også vise forhold, som ingen af parterne har ansvaret for, fordi de er faldet mellem to stole. Det gælder fx konti, som virksomheden selv har oprettet, eller tjenester, som en afdeling har købt uden om IT.

Leverandøren bør inddrages i planlægningen, så testen ikke bliver forvekslet med et angreb, og så rettelserne bagefter kan aftales. Hvis leverandøren tilbyder at teste selv, kan det have værdi, men det er ikke det samme som et uafhængigt blik. → Leverandøren vil selv teste

Et tænkt eksempel

En revisionsvirksomhed med tre kontorer har haft driften hos den samme leverandør i mange år. Ledelsen har opfattet sikkerheden som leverandørens område. En stor kunde spørger, hvornår virksomheden sidst har fået testet sin sikkerhed, og ledelsen har intet svar.

Ledelsen gennemgår aftalen og opdager, at den ikke nævner sikkerhedstest, og at rapporteringen kun handler om oppetid. Der aftales et tillæg, som giver ret til en uafhængig test og fastlægger, hvordan fund skal rettes. Den første test viser, at en tidligere medarbejders konto stadig er aktiv. Leverandøren og virksomheden har hver troet, at den anden havde ansvaret for at lukke den. Fremover går en ansvarlig hos virksomheden listen over konti igennem sammen med leverandøren på faste tidspunkter.

Det skal I lade være med

At tro, at leverandøren har overtaget ansvaret · arbejdet er købt, ansvaret er ikke.
At lade aftalen tie om sikkerhed · det, der ikke står, bliver svært at kræve.
At acceptere leverandørens egen vurdering som den eneste · det er ikke en uafhængig kontrol.
At teste uden at involvere leverandøren · det kan give misforståelser og konflikter.
At glemme det, der ligger mellem jer · konti, tjenester og adgange, ingen føler ansvar for. → Når leverandørerne peger på hinanden

Hvad kan og ikke kan konkluderes

En klar aftale og en uafhængig test giver ledelsen et bedre billede af, om sikkerheden hos leverandøren svarer til det, virksomheden har brug for. De fjerner ikke ledelsens ansvar, og de kan ikke garantere, at leverandøren gør det rigtige hver dag. Hvordan ansvaret konkret er fordelt mellem virksomheden og leverandøren, afhænger af aftalen og af omstændighederne.

Tjekliste: driften er købt ude

☐ Ved ledelsen, hvilke sikkerhedsopgaver leverandøren har påtaget sig?
☐ Giver aftalen ret til en uafhængig sikkerhedstest?
☐ Er det aftalt, hvem der retter fund, og hvordan det betales?
☐ Får ledelsen rapportering om sikkerhed, ikke kun om oppetid?
☐ Er der en person i virksomheden, der følger op på leverandøren? → Spørgsmål til IT-leverandøren

Kilder

Microsoft Learn, Shared responsibility in the cloud: at kunden for alle tjenestetyper ejer sine data og identiteter og altid bevarer ansvaret for data, enheder, konti og styring af adgange.
NCSC og UK Government, Cyber Governance Code of Practice: A4 om regelmæssig vurdering af leverandører i forhold til risikoen og evnen til at modstå risici fra leverandører og samarbejdspartnere.

Senest gennemgået: oktober 2026.