Efter en sikkerhedstest sker det, at et fund ligger i grænsen mellem to leverandører. Driftsleverandøren siger, at fejlen sidder i forretningssystemet. Softwarehuset siger, at det er opsætningen af serveren. Imens bliver fundet liggende. Svaret på, hvem der skal rette, hviler på to ting: hvad aftalerne med hver leverandør siger, og at ledelsen tager beslutningen, når leverandørerne ikke selv kan. Ledelsen behøver ikke afgøre, hvem der har ret teknisk. Den skal sørge for, at nogen får opgaven, og at fundet bliver rettet.
Spørgsmålet er ikke kun praktisk. Som virksomhedsleder har man det endelige ansvar for, at virksomhedens IT-sikkerhed er i orden, skriver sikkerdigital.dk i sit materiale om leverandører. Det ansvar kan ikke deles mellem to leverandører, der er uenige. → Ansvaret kan ikke outsources
Hvorfor det sker
Uenigheden behøver ikke skyldes ond vilje. Den kan opstå, fordi moderne IT består af lag, som ejes og passes af forskellige parter. En hjemmeside kan være udviklet af ét firma, ligge på en server hos et andet og bruge et login fra en tredje. Et fund kan sagtens skyldes, at to dele spiller dårligt sammen, uden at nogen af dem isoleret set er forkert.
Dertil kommer, at aftalerne kan være indgået hver for sig og på forskellige tidspunkter. De beskriver, hvad hver leverandør skal levere, men ikke hvem der har ansvaret i grænsefladen. Sikkerdigital.dk nævner netop ansvarsfordelingen mellem kunden og IT-leverandøren som et af de spørgsmål, virksomheden bør have afklaret.
Endelig kan der være penge på spil. Den leverandør, der påtager sig fundet, påtager sig også arbejdet, og måske udgiften. Det gør begge parter forsigtige. Det er forståeligt set fra leverandørens side, men det er ikke virksomhedens problem at løse ved at vente.
Tegn på, at fundet er gået i stå
Ledelsen hører ikke altid om uenigheden direkte. Den viser sig i statusrapporterne som et fund, der står stille.
- Samme status gang på gang · fundet er “under afklaring” måned efter måned.
- Ingen navngiven ansvarlig · rubrikken er tom eller siger “leverandør”.
- Mails i ring · IT-chefen videresender svar fra den ene leverandør til den anden.
- Tekniske forklaringer uden konklusion · lange svar, der ikke siger, hvem der gør hvad.
Når et af disse tegn viser sig, er det tid til, at ledelsen griber ind. → Når rettelserne går i stå
Ledelsens greb: én ansvarlig for fundet
Det første skridt er at udpege én person i virksomheden, som ejer fundet, indtil det er rettet. Ikke en leverandør, men en medarbejder eller leder hos jer. Personen samler leverandørerne, sørger for, at de taler sammen og ikke kun gennem jer, og melder tilbage til ledelsen.
Det andet skridt er at bede begge leverandører om et skriftligt svar på det samme spørgsmål: hvad skal ændres for at lukke fundet, og hvilken del af det mener I hører under jeres aftale? Når svarene ligger side om side, kan det være lettere at se, hvor uenigheden reelt ligger. Nogle gange viser det sig, at begge skal gøre noget. Andre gange viser det sig, at spørgsmålet slet ikke er teknisk, men handler om, hvem der skal betale.
Det tredje skridt er et fælles møde med begge leverandører og gerne testeren. Testeren kan forklare fundet uden at have interesse i, hvem der får opgaven. → Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter
Når ledelsen må beslutte
Hvis leverandørerne stadig ikke kan blive enige, må ledelsen træffe en beslutning. Det kan være at give opgaven til den ene leverandør og betale for den, mens spørgsmålet om, hvem der burde have båret udgiften, tages op bagefter. Det kan være bedre end at lade et alvorligt fund stå åbent.
Beslutningen skal skrives ned med en begrundelse. Hvis ledelsen vælger at betale for noget, den mener burde være dækket, er det et argument ved næste forhandling. Teksten er ikke juridisk rådgivning; er beløbet stort, eller er der tale om et reelt kontraktbrud, kan det være klogt at få en rådgiver til at se på aftalerne. → Leverandøren skal rette: hvilke svar ledelsen kan kræve
Undgå det næste gang
Den bedste løsning er at få grænsefladerne beskrevet, før næste test. Det kan ske på flere måder:
- En oversigt over leverandørerne · hvem driver hvad, og hvor mødes de?
- Pligt til at samarbejde · skriv ind i aftalerne, at leverandørerne skal samarbejde med jeres øvrige leverandører, når der skal rettes.
- En fast fremgangsmåde · aftal på forhånd, hvordan fund i grænsefladen fordeles, og hvem der træffer beslutningen.
- Ét fælles opstartsmøde · inviter alle relevante leverandører, når testen planlægges.
Oversigten over leverandører er også nyttig af andre grunde. Den viser ledelsen, hvor afhængig virksomheden er af andre. Og den gør det lettere for testeren at se, hvem der skal orienteres før testen. → Leverandørrisiko
Et tænkt eksempel
En webshop med møbler får testet sin butik. Et fund handler om, at kundernes ordrehistorik kan ses af andre under bestemte betingelser. Bureauet, der har bygget butikken, mener, at det skyldes hostingen. Hostingfirmaet mener, at det er butikkens kode.
Efter seks uger uden fremskridt udpeger direktøren e-handelschefen som ansvarlig. Begge leverandører beder om et skriftligt svar, og der holdes et møde med testeren. Det viser sig, at begge skal ændre noget. Direktøren beslutter, at bureauet koordinerer og fakturerer sin del, mens hostingfirmaet retter sin del inden for aftalen. Ved næste fornyelse skrives en pligt til samarbejde ind i begge aftaler.
Det skal I lade være med
- At vente på, at leverandørerne finder ud af det · uden en ansvarlig hos jer er det ikke sikkert, at det sker.
- At agere budbringer · få leverandørerne til at tale sammen direkte.
- At kræve teknisk afgørelse af ledelsen · ledelsen skal placere opgaven, ikke løse den.
- At lade et alvorligt fund stå åbent for at vinde en diskussion · ret først, diskutér udgiften bagefter.
- At glemme at skrive det ned · næste aftale skal kunne bygge på erfaringen.
Hvad kan og ikke kan konkluderes
En navngiven ansvarlig, skriftlige svar og en klar beslutning får fundet rettet. Det afgør ikke, hvem der juridisk burde have betalt, og det ændrer ikke aftalerne. Det kræver en forhandling eller en rådgiver. Men det forhindrer, at virksomheden står med en kendt svaghed, fordi ingen ville tage den.
Tjekliste, når leverandørerne er uenige
- ☐ Har fundet en navngiven ansvarlig hos jer?
- ☐ Har begge leverandører svaret skriftligt på det samme spørgsmål?
- ☐ Er der holdt et fælles møde, gerne med testeren?
- ☐ Er der en frist for, hvornår ledelsen beslutter, hvis der ikke er enighed?
- ☐ Er beslutningen og begrundelsen skrevet ned?
- ☐ Er erfaringen noteret til næste aftaleforhandling?
Kilder
- sikkerdigital.dk: Leverandørpakken: at virksomhedslederen har det endelige ansvar for, at IT-sikkerheden er i orden, og at ansvarsfordelingen mellem kunden og IT-leverandøren bør være afklaret.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Leverandørens tilbud på rettelser · Spørgsmål til IT-leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
