Leverandøren skal rette: hvilke svar ledelsen kan kræve

Når en sikkerhedstest finder svagheder i systemer, som en IT-leverandør driver, kan ledelsen stå tilbage med en kort besked om, at “det bliver kigget på”. Det er ikke et svar, ledelsen kan styre efter. Hvad ledelsen kan kræve, hviler på to ting: hvad kontrakten forpligter leverandøren til, og hvad virksomheden selv har brug for at vide for at bære ansvaret. Svaret på titlens spørgsmål er kort: ledelsen kan bede om en plan, en navngiven ansvarlig, en begrundelse for de fund, der ikke rettes, og dokumentation for, at rettelserne er sket.

Ansvaret for virksomhedens systemer og oplysninger bliver hos virksomheden, også når driften er købt ude. Det skriver Styrelsen for Samfundssikkerhed i sin vejledning om cybersikkerhed i leverandørforhold. Derfor er det ikke et udtryk for mistillid at bede om ordentlige svar. Det er en del af ledelsens kontrol. → Ansvaret kan ikke outsources

En leverandør kan være dygtig og velvillig og alligevel ikke få rettet. Driften har sin egen kø af opgaver, og sikkerhedsfund konkurrerer med alt det, der haster i hverdagen. Uden en aftalt plan glider fundene ned ad listen.

For ledelsen er der også et andet problem. Hvis bestyrelsen, en kunde eller et forsikringsselskab spørger, om fundene er håndteret, skal virksomheden kunne svare præcist. Et mundtligt løfte fra leverandøren kan ikke dokumenteres og kan ikke følges op.

Fem svar, ledelsen kan bede om

Leverandørens svar bør dække fem punkter. Ingen af dem kræver teknisk viden at vurdere.

En plan pr. fund · hvad gøres der ved hvert fund, og hvornår forventes det afsluttet?
En ansvarlig · hvilken person hos leverandøren står for arbejdet og kan svare på spørgsmål?
En begrundelse ved fravalg · hvis et fund ikke rettes, hvorfor ikke, og hvad gøres der i stedet?
Afhængigheder · venter nogle rettelser på jer, på en anden leverandør eller på en producent?
Dokumentation · hvordan vises det, at rettelsen er sket og virker?

Planen skal ikke være lang. Den skal kunne lægges ved siden af rapporten, så ledelsen kan se, at intet fund er glemt. Hvis leverandøren sender et tilbud på en del af arbejdet, vurderes det for sig. → Leverandørens tilbud på rettelser

Hvad kontrakten giver ret til

Styrelsen for Samfundssikkerhed anbefaler, at sikkerhedskrav skrives ind i kontrakten, så de kan håndhæves som andre krav. Vejledningen nævner blandt andet leverandørens pligt til at rapportere, kundens ret til selv eller via en tredjepart at kontrollere, at kontrakten overholdes, og leverandørens pligt til at afhjælpe fejl og mangler.

Nogle driftsaftaler er ikke skrevet så præcist. Så er det et spørgsmål om samarbejde og forhandling, hvor meget leverandøren skal levere. Det ændrer ikke ved, at ledelsen kan bede om svarene. Det betyder bare, at leverandøren måske vil tage betaling for noget af arbejdet. Teksten er ikke juridisk rådgivning; ved uenighed om, hvad aftalen dækker, kan en rådgiver være nødvendig. → Kontrakten med IT-leverandøren

Når svaret er vagt

Nogle svar lyder betryggende uden at sige noget. “Vi har styr på det”, “det er en kendt problemstilling” og “det er lav risiko hos os” er eksempler. De kan alle være rigtige, men ledelsen kan ikke se det.

Bed i stedet om at få svaret koblet til et konkret fund i rapporten. Hvis leverandøren mener, at et fund er forkert eller ikke er alvorligt, er det et legitimt synspunkt, men det skal begrundes skriftligt. Ledelsen kan derefter bede testeren om en kommentar. Uenighed om selve fundet behandles grundigere på penetrationtest.dk.

Et vagt svar kan også skyldes, at leverandøren ikke selv ved, hvem der skal rette. Det sker, når flere parter er involveret, og hver især venter på de andre. → Når to leverandører peger på hinanden

Dokumentationen skal kunne bruges senere

Vejledningen fra Styrelsen for Samfundssikkerhed peger på, at det er kundens ansvar at påpege, når leverandøren ikke lever op til kravene, og at kontrollere, at fejl bagefter bliver udbedret. Den anbefaler også, at kontrollen dokumenteres.

For ledelsen betyder det, at leverandørens svar bør gemmes sammen med rapporten. En kort statusliste, der viser fund, ansvarlig, dato og om rettelsen er efterprøvet, er tilstrækkelig. Den kan bruges i ledelsen, over for bestyrelsen og ved næste kontraktforhandling. → Status på rettelserne

Hvem i virksomheden modtager svarene?

Svarene skal lande hos en person, der kan vurdere dem og har mandat til at sige fra. I en mindre virksomhed kan det være direktøren eller økonomichefen. I en større kan det være IT-chefen, men så bør ledelsen selv få en kort opsummering.

Styrelsen for Samfundssikkerhed anbefaler, at kunden udpeger en bestemt rolle med ansvar for at kontrollere, at leverandøren efterlever sikkerhedskravene. Pointen er den samme her: hvis ingen har ansvaret for at modtage og følge op på svarene, bliver de liggende i en indbakke. Den ansvarlige bør også vide, hvornår et spørgsmål skal løftes til ledelsen, fx når en rettelse kræver penge, eller når leverandøren afviser et alvorligt fund. → Hvem i ledelsen skal eje sikkerhedstesten?

Et tænkt eksempel

En fragtvirksomhed får testet sit kundesystem og den fjernadgang, chaufførerne bruger. Rapporten peger på flere fund i systemer, som driftsleverandøren står for.

Leverandøren svarer først med en mail om, at fundene “indgår i den løbende drift”. Direktøren beder om en opstilling fund for fund med ansvarlig og forventet dato. Opstillingen viser, at fundene kan rettes inden for aftalen, bortset fra to: ét kræver en opgradering, som skal besluttes og betales, og ét er efter leverandørens vurdering ufarligt. Direktøren beder testeren kommentere det sidste og sætter opgraderingen på næste ledelsesmøde.

Det skal I lade være med

At nøjes med en mundtlig besked · uden skriftligt svar kan intet følges op.
At kræve det umulige · en plan med realistiske datoer er bedre end en lovet dato, der skrider.
At acceptere fravalg uden begrundelse · et fund, der ikke rettes, skal være en bevidst beslutning.
At lade leverandøren efterprøve sig selv alene · en uafhængig kontrol af de alvorligste rettelser giver et sikrere svar.
At glemme jeres egen del · nogle rettelser venter på beslutninger hos jer.

Hvad kan og ikke kan konkluderes

En plan med ansvarlige og datoer viser, at leverandøren har taget fundene alvorligt. Den viser ikke, at rettelserne virker. Det kræver en efterprøvning. Og et fyldestgørende svar fra leverandøren fritager ikke ledelsen for at følge op.

Tjekliste til leverandørens svar

☐ Er der et svar for hvert fund i rapporten?
☐ Har hvert fund en navngiven ansvarlig hos leverandøren?
☐ Er fravalg begrundet skriftligt?
☐ Er afhængigheder af jer eller andre leverandører beskrevet?
☐ Er det aftalt, hvordan rettelserne dokumenteres og efterprøves?
☐ Er svarene gemt sammen med rapporten?

Kilder

Styrelsen for Samfundssikkerhed: Cybersikkerhed i leverandørforhold: at kunden beholder ansvaret ved outsourcing, at sikkerhedskrav bør skrives ind i kontrakten, at aftalen bør omfatte rapportering, kontrolret og afhjælpning af fejl, og at kunden bør påpege manglende efterlevelse, kontrollere udbedring og dokumentere kontrollen. Vejledningen er primært skrevet til statslige myndigheder, men kan ifølge styrelsen også bruges af virksomheder.

Senest gennemgået: oktober 2026.