Kontrakten med IT‑leverandøren: hvad siger den om sikkerhedstest?

Nogle ledelser opdager først, at driftsaftalen er tavs om sikkerhedstest, når testen skal bestilles. Så opstår spørgsmålene: må vi overhovedet teste, skal leverandøren hjælpe, og hvem betaler, hvis der skal rettes? Svaret hviler på kontraktens ordlyd og på, hvad ledelsen selv har brug for at kunne kontrollere. Kort sagt bør kontrakten give virksomheden ret til at lade systemerne teste, forpligte leverandøren til at medvirke og beskrive, hvordan fund bliver rettet. Står det ikke der, kan det aftales nu og skrives ind ved næste fornyelse.

Kontrakten med den, der udfører testen, er en anden aftale. Den er beskrevet på penetrationtest.dk. Her handler det om aftalen med den leverandør, der driver jeres systemer.

Spørgsmålet er især relevant for virksomheder, hvor hele driften ligger hos én leverandør, og hvor ledelsen derfor har få andre måder at se, hvordan sikkerheden faktisk står til.

Hvorfor kontrakten er ledelsens sag

Driftsaftalen kan være forhandlet af en indkøber, en økonomichef eller IT-chefen. Den handler om oppetid, support og pris. Sikkerhed kan fylde lidt, og test fylder endnu mindre.

Men ansvaret for virksomhedens systemer og oplysninger følger ikke med driften over til leverandøren. Styrelsen for Samfundssikkerhed skriver i sin vejledning om leverandørforhold, at kunden altid beholder det ansvar, og at kunden derfor løbende bør føre kontrol med leverandøren. En sikkerhedstest er en af de måder, kontrollen kan ske på. Hvis kontrakten ikke giver plads til den, har ledelsen svækket sit eget redskab. → Ansvaret kan ikke outsources

Tre ting, kontrakten bør sige

Ledelsen behøver ikke læse hele aftalen. Det er nok at få svar på tre spørgsmål, fx fra den, der kender aftalen bedst.

Retten til at teste · må virksomheden selv, eller en tredjepart på virksomhedens vegne, undersøge sikkerheden i de systemer, leverandøren driver?
Pligten til at medvirke · skal leverandøren give adgang, stille en kontaktperson til rådighed og være klar, hvis noget skal stoppes undervejs?
Pligten til at rette · hvad sker der med fund, og hvad er dækket af den faste pris?

Styrelsen for Samfundssikkerhed nævner netop gennemførelse af sikkerhedstest og sårbarhedsscanninger, foretaget af kunden, leverandøren eller en tredjepart, som et af de forhold, kravene til leverandøren bør omfatte. Vejledningen anbefaler også, at leverandøren forpligtes til at hjælpe, når kunden kontrollerer, herunder med den nødvendige adgang og dokumentation.

To mindre punkter hører med. Det ene er tidspunktet: kan leverandøren kræve at blive varslet, og hvor længe før? Det andet er fortroligheden: hvem hos leverandøren får rapporten at se, og hvad må leverandøren bruge den til? En rapport om svagheder i jeres systemer er også en rapport om leverandørens arbejde, og den bør ikke sendes videre uden jeres accept.

Når kontrakten er tavs

En tavs kontrakt betyder ikke, at testen er udelukket. Den betyder, at det skal aftales. I praksis spørger virksomheden leverandøren, om den vil medvirke, og på hvilke vilkår. Nogle leverandører er vant til det og har en fast fremgangsmåde.

Det, ledelsen skal være opmærksom på, er, at leverandøren kan tage betaling for sin tid og kræve indflydelse på, hvornår og hvordan der testes. Det er rimeligt nok, så længe vilkårene er kendt, før testen bestilles. Leverandøren skal også passe på sine andre kunder, hvis systemerne er fælles. Men leverandøren bør ikke kunne bestemme, hvad der testes, eller hvem der tester. Så er det ikke længere en uafhængig kontrol. → IT-leverandøren tilbyder selv at teste

Systemer, som en anden part ejer eller driver, kan også kræve den parts accept. Afklar det, før testen går i gang. → Testens egne risici

Rettelserne er sværest at forudse

Testen er en afgrænset opgave med et aftalt omfang. Rettelserne er sværere at forudse. Hvis kontrakten ikke siger noget om, hvordan fund håndteres, kan hvert fund blive et nyt tilbud.

En god kontrakt skelner mellem det, leverandøren allerede har påtaget sig at holde i orden, og det, der er nyt arbejde. Den beskriver også, hvor hurtigt alvorlige fund skal håndteres, og hvordan virksomheden får besked, når det er sket. Teksten er ikke juridisk rådgivning, og hvor grænsen bør gå, afhænger af aftalen og af systemerne. Ved fornyelse af en større aftale kan det betale sig at få en rådgiver til at se på netop dette afsnit. → Leverandøren skal rette: hvilke svar ledelsen kan kræve

Tag det med ved næste fornyelse

Den bedste lejlighed til at få test og rettelser ind i aftalen er, når den alligevel skal forhandles. Notér, hvad der var uklart ved denne test, og giv listen til den, der forhandler. Bed om, at sikkerhedskravene skrives ind i selve kontrakten, så de kan håndhæves som andre krav, sådan som Styrelsen for Samfundssikkerhed anbefaler.

Det er også et godt tidspunkt at spørge, hvordan leverandøren selv dokumenterer sin sikkerhed, og hvordan den vil rapportere til jer. Svarene viser, om leverandøren er vant til at blive kontrolleret, eller om det er nyt for den. Begge dele er nyttigt at vide, før aftalen forlænges i flere år. → Spørgsmål til IT-leverandøren

Et tænkt eksempel

En ejendomsadministration vil teste den portal, lejerne bruger, og netværket på kontoret. Begge drives af samme IT-leverandør. Direktøren beder økonomichefen finde ud af, hvad aftalen siger.

Aftalen nævner sikkerhed i én sætning og test slet ikke. Leverandøren vil gerne medvirke, men tager betaling for timerne og ønsker at kende tidspunktet. Det accepteres. Til gengæld insisterer direktøren på, at testeren vælges af administrationen. Efter testen skrives tre punkter ned til næste forhandling: retten til at teste, leverandørens medvirken og en frist for alvorlige fund.

Det skal I lade være med

At antage, at testen er dækket · læs aftalen, eller få den læst, før I bestiller.
At lade leverandøren vælge testeren · så kontrollerer leverandøren sig selv.
At glemme andre parter · systemer, der ejes af andre, kræver deres accept.
At forhandle rettelser fund for fund · aftal en fremgangsmåde, før rapporten kommer.
At vente til næste krise · skriv punkterne ned nu, og brug dem ved fornyelsen.

Hvad kan og ikke kan konkluderes

En kontrakt med ret til at teste og pligt til at medvirke gør testen lettere og rettelserne mere forudsigelige. Den sikrer ikke, at leverandørens sikkerhed er god. Det kan kun undersøges. En tavs kontrakt er heller ikke en hindring, men en opgave for ledelsen.

Tjekliste til driftsaftalen

☐ Giver aftalen ret til at teste, selv eller via en tredjepart?
☐ Skal leverandøren medvirke med adgang og kontaktperson?
☐ Er det beskrevet, hvordan fund rettes, og hvad den faste pris dækker?
☐ Er andre parters accept afklaret?
☐ Er uklare punkter noteret til næste fornyelse?

Kilder

Styrelsen for Samfundssikkerhed: Cybersikkerhed i leverandørforhold: at kunden beholder ansvaret og løbende bør føre kontrol med leverandøren, at kravene til leverandøren bør omfatte sikkerhedstest og sårbarhedsscanninger foretaget af kunden, leverandøren eller en tredjepart, at leverandøren bør forpligtes til at bistå ved kontrol, og at sikkerhedskrav bør skrives ind i kontrakten. Vejledningen er primært skrevet til statslige myndigheder, men kan også bruges af virksomheder.

Senest gennemgået: oktober 2026.