En vigtig kunde stiller sikkerhedskrav, I ikke kan opfylde endnu

Kontrakten med en af de største kunder skal fornyes, og i udkastet står der nye krav: en uafhængig sikkerhedstest, dokumentation for opfølgning og måske en certificering. Virksomheden har ikke noget af det i dag. Fristelsen er at skrive under og håbe på at nå det. Svaret på, hvad ledelsen bør gøre, hviler på to forhold: kundens krav kan være mere forhandlelige, end de ser ud, og et ja, virksomheden ikke kan dække, er en større risiko for kundeforholdet end et ærligt svar med en plan. Det er ledelsen, der skal tage den beslutning, ikke den sælger, der står med kontrakten.

Hvorfor kravene kommer

Kunder stiller krav til leverandører, fordi leverandørernes sikkerhed påvirker deres egen. For nogle kunder er det også et lovkrav. Efter NIS2-direktivet skal medlemsstaterne sikre, at de virksomheder, der er omfattet, har foranstaltninger for sikkerheden i forsyningskæden, jf. artikel 21, stk. 2, litra d. Efter artikel 21, stk. 3, skal de i den forbindelse tage hensyn til de enkelte direkte leverandørers sårbarheder og til kvaliteten af leverandørernes produkter og cybersikkerhedspraksis. Den slags kunder skal altså kunne vise, at de har vurderet deres leverandører. Hvordan kravene i leverandørkæden fungerer i praksis, er beskrevet på nis2-pentest.dk.

Det betyder ikke, at kunden nødvendigvis har formuleret kravene, så de passer til netop jeres virksomhed. Nogle kunder skriver kravene ens til alle leverandører, og det kan give plads til en samtale.

Krav kan være til forhandling

Det britiske NCSC anbefaler i sin vejledning om sikkerhed i leverandørkæden, at kunder stiller minimumskrav, der er begrundede, forholdsmæssige og mulige at opfylde. Kravene bør afspejle kundens vurdering af risikoen, men også tage højde for, hvor modne leverandørernes sikkerhedsforhold er, og om de kan levere det, der kræves. NCSC fraråder at tvinge alle leverandører til at opfylde det samme, hvis det ikke er rimeligt.

En kunde, der følger den tankegang, har en interesse i at høre, hvad I kan, og hvornår. Spørg derfor kunden, før I svarer:

Hvad skal kravet dække? · hele virksomheden eller kun den del, der leverer til kunden?
Hvorfor stilles det? · er det et lovkrav hos kunden, en intern politik eller en standardformulering?
Hvad accepteres? · en test af en bestemt del, en plan med datoer, eller kun et færdigt resultat?
Hvornår? · kan kravet indfases over en periode?

→ Kundekrav eller egne behov

Et ærligt svar med en plan

Når kravet er forstået, kan ledelsen formulere sit svar. Et godt svar har tre dele: hvad virksomheden kan i dag, hvad den vil gøre, og hvornår. Planen skal være realistisk og have en ansvarlig i ledelsen. Den kan for eksempel indeholde en første test af det, der leverer til kunden, en dato for, hvornår resultatet foreligger, og en beskrivelse af, hvordan fundene vil blive fulgt op.

Et sådant svar kan virke svagere end et ja. Men et ja uden dækning bliver en del af aftalen, og hvis kunden senere beder om dokumentation, står virksomheden med et brud på en aftale i stedet for en forsinket plan. Det kan koste mere tillid end et ærligt svar på forhånd. → Løfter om sikkerhed til kunderne

Når tiden er knap

Hvis kunden har en fast frist, kan ledelsen overveje at fremskynde en test. Det kan lade sig gøre, men hastesager koster ekstra, og en test, der er bestilt i hast, kan blive smallere, end den burde. Hvad der påvirker omfanget og prisen, står under pris og tilbud. → Testen skal ligge i morgen

Overvej også, om kravet kan opfyldes trinvist: en test af det mest kritiske nu og resten senere. Det skal i så fald stå tydeligt i svaret til kunden, så kunden ved, hvad der er dækket, og hvad der kommer. Det samme gælder rettelserne. Et testresultat med alvorlige fund, der ikke er rettet, opfylder ikke nødvendigvis kundens krav, så der skal også være plads i budgettet til at rette. → Budget til rettelser

Når svaret bliver nej

Det kan også ende med, at ledelsen vurderer, at kravet ikke står mål med kunden. Måske kræver kunden en certificering, som vil binde ressourcer i lang tid, mens kunden kun udgør en mindre del af omsætningen. Eller kravet passer dårligt til virksomhedens øvrige behov og ville trække opmærksomheden væk fra det, der er vigtigere.

Et nej er en legitim beslutning, men det skal være en beslutning. Ledelsen bør vurdere, hvad det betyder for kundeforholdet, og om andre kunder kan forventes at stille lignende krav senere. Hvis det er sandsynligt, kan et nej i dag blive dyrere end at begynde på planen nu. Hvis kravet står alene, kan det være klogt at sige nej venligt og forklare, hvad virksomheden i stedet kan dokumentere. Uanset udfaldet bør beslutningen og begrundelsen skrives ned, så den kan genfindes, når næste kunde spørger. → Hvornår kan ledelsen sige nej?

Et tænkt eksempel

En producent af emballage leverer til en medicinalvirksomhed, som er omfattet af skærpede krav. Ved fornyelsen af rammeaftalen kræver kunden, at leverandørens systemer til ordrer og etiketter er testet af en uafhængig part, og at fundene er fulgt op. Producenten har aldrig fået lavet en test.

Salgsdirektøren vil skrive under. Direktøren beder i stedet om et møde med kundens indkøbsafdeling og får at vide, at kravet kan opfyldes med en plan, hvis testen er gennemført inden for aftalens første halvår. Ledelsen beslutter en test af ordre- og etiketsystemet, afsætter budget til rettelser og udpeger produktionsdirektøren som ansvarlig. Planen bliver vedlagt kontrakten, så begge parter ved, hvad der er aftalt.

Det skal I lade være med

At skrive under på krav, I ikke kan dække · et ja bliver en del af aftalen.
At lade sælgeren træffe beslutningen alene · det er en ledelsesbeslutning.
At læse kravet bredere end nødvendigt · spørg kunden, hvad det skal dække.
At love en dato uden budget og ansvarlig · en plan uden ressourcer er et løfte.
At glemme rettelserne · en test med åbne alvorlige fund opfylder ikke nødvendigvis kravet.

Hvad kan og ikke kan konkluderes

Et ærligt svar med en realistisk plan giver de bedste muligheder for at bevare kunden og leve op til aftalen. Det sikrer ikke, at kunden accepterer planen, og kunden kan vælge en anden leverandør. Men det gør det muligt for ledelsen at træffe beslutningen med åbne øjne. Teksten er ikke juridisk rådgivning. → Kunderne spørger til vores sikkerhed

Tjekliste, når kravet ikke kan opfyldes

☐ Er det afklaret med kunden, hvad kravet skal dække og hvorfor?
☐ Er det undersøgt, om kravet kan indfases?
☐ Har ledelsen besluttet en plan med datoer, budget og ansvarlig?
☐ Er der afsat plads til rettelser efter testen?
☐ Står planen skriftligt i svaret eller kontrakten?

Kilder

NIS2-direktivet (EU) 2022/2555: artikel 21, stk. 2, litra d, om forsyningskædesikkerhed og stk. 3 om hensyn til direkte leverandørers sårbarheder og cybersikkerhedspraksis.
NCSC, Supply chain security guidance: Establish control: princip 5 om minimumskrav til leverandører, der er begrundede, forholdsmæssige og mulige at opfylde, og som tager højde for leverandørernes modenhed.

Senest gennemgået: oktober 2026.