Sikkerhed i forhandlingen med samarbejdspartnere

En samarbejdsaftale kan let komme til kun at handle om pris, leverancer og ansvar for kvalitet. Men når to virksomheder knytter systemer, data eller kundeforhold sammen, bliver den ene parts sikkerhed også den andens risiko. Svaret på, hvordan ledelsen får sikkerheden med i forhandlingen, hviler på gensidighed: begge parter bør vide, hvad de kan forvente af hinanden, hvordan det dokumenteres, og hvad der sker, når noget går galt. Det skal aftales, mens der forhandles, ikke når en hændelse har gjort det nødvendigt. Teksten er ikke juridisk rådgivning.

Hvorfor sikkerheden hører til i forhandlingen

Det amerikanske NIST beskriver i sit rammeværk for cybersikkerhed, CSF 2.0, at krav til at håndtere cybersikkerhedsrisici i forsyningskæden bør fastlægges, prioriteres og indarbejdes i kontrakter og andre aftaler med leverandører og andre relevante tredjeparter. Rammeværket nævner også, at relevante parter bør inddrages i planlægning og håndtering af hændelser, og at der bør være planer for, hvad der sker, når et samarbejde slutter.

For en ledelse betyder det, at sikkerhed ikke er et bilag, IT kan tilføje bagefter. Det er en del af, hvad parterne forpligter sig til, og den er lettest at få på plads, mens begge parter har en interesse i at blive enige. → Leverandørrisiko

Hvilke samarbejder det gælder

Ikke alle samarbejder kræver det samme. Spørgsmålet er, hvor tæt forbindelsen er. Sikkerheden bør især med i forhandlingen, når samarbejdet indebærer:

Forbundne systemer · den ene parts system henter eller sender data automatisk til den andens.
Fælles kunder · kunder, der handler gennem den ene part, men får leveret af den anden.
Adgang hos hinanden · medarbejdere eller konsulenter, der har konti i partnerens systemer.
Delte oplysninger · priser, tegninger, kundelister eller andet, som ikke må komme ud.
Afhængighed · forhold, hvor den ene parts nedbrud standser den andens forretning.

Hvis ingen af punkterne passer, kan et par linjer om fortrolighed og orientering ved hændelser være nok. Jo flere af punkterne der passer, jo mere bør aftalen sige, og jo tidligere i forhandlingen bør emnet komme på bordet. → Hvad står stille, hvis systemerne er nede?

Det, parterne kan forvente af hinanden

En aftale om sikkerhed mellem samarbejdspartnere bør gå begge veje. Det gør den lettere at forhandle, fordi ingen af parterne skal acceptere krav, den ikke selv vil stille. Fem emner er værd at have på bordet:

Dokumentation · hvad hver part kan vise om sin sikkerhed, for eksempel en erklæring om seneste sikkerhedstest af de systemer, samarbejdet berører.
Test af forbindelsen · om og hvordan de fælles snitflader kan testes, og hvem der giver tilladelse.
Orientering ved hændelser · hvornår og hvordan den ene part giver den anden besked, hvis noget går galt.
Ændringer · at væsentlige ændringer i de forbundne systemer meldes til den anden part.
Afslutning · hvad der sker med adgange, data og forbindelser, når samarbejdet stopper.

Hvert punkt kan være kort. Det vigtige er, at det er aftalt, og at begge parter ved, hvem hos den anden der er kontaktperson. → Kontrakten med IT-leverandøren

Når partneren stiller krav, I ikke kan opfylde

Forhandlingen kan også gå den anden vej. En større partner kan stille krav om dokumentation eller test, som virksomheden ikke kan leve op til med det samme. Det er en ledelsesbeslutning, hvordan der svares. Et ærligt svar med en plan kan være bedre end en underskrift på krav, som ingen i virksomheden har set nærmere på.

Overvej også, om kravene står mål med samarbejdet. Et krav om fuld rapport fra en sikkerhedstest af hele virksomheden er noget andet end et krav om dokumentation for de systemer, partneren er forbundet med. Det sidste er lettere at forhandle om, og det giver partneren det, den faktisk har brug for. → Krav, I ikke kan opfylde endnu

Ledelsen og forhandlerne

Den, der forhandler samarbejdsaftalen, er ikke nødvendigvis den, der kender sikkerheden. Ledelsen kan sikre sammenhængen på to måder. Den kan give forhandlerne en kort liste over, hvad virksomheden forventer af en partner, og hvad den selv kan tilbyde. Og den kan fastlægge, at aftaler med forbundne systemer eller delte data skal ses af den, der ejer sikkerheden, før de underskrives.

Det giver også et overblik, som ledelsen ellers ikke har: hvilke partnere virksomheden er forbundet med, og hvad der er aftalt med hver. Overblikket bliver nyttigt, hvis en partner bliver ramt af en hændelse.

En aftale skal også holdes ved lige. Samarbejder udvikler sig: en forbindelse, der begyndte som en simpel ordreudveksling, kan med tiden give partneren adgang til langt mere. Ledelsen kan aftale med partneren, at sikkerhedsafsnittet tages op, når samarbejdet udvides, eller når en af parterne skifter systemer eller driftsleverandør. Det kan også ske ved den årlige gennemgang af aftalen, hvis der er en. Uden den slags anledninger risikerer afsnittet at beskrive et samarbejde, der ikke længere findes. → En samarbejdspartner er blevet ramt

Et tænkt eksempel

En producent af køkkenelementer indgår samarbejde med en kæde af byggecentre, som skal sælge elementerne. Bestillinger skal gå automatisk fra kædens system til producentens ordresystem.

Producentens direktør beder om, at aftalen får et kort afsnit om sikkerhed. Parterne aftaler at udveksle en erklæring om seneste sikkerhedstest af de systemer, der er forbundet, at forbindelsen kan testes efter aftale mellem begge parters IT-ansvarlige, og at hver part giver den anden besked hurtigst muligt ved en hændelse, der kan berøre bestillingerne. Det aftales også, at adgange lukkes, og at forbindelsen afbrydes, hvis samarbejdet ophører. Kæden beder om det samme fra producenten, og afsnittet bliver gensidigt.

Det skal I lade være med

At lade sikkerheden vente til efter underskriften · den er lettest at aftale under forhandlingen.
At stille krav, I ikke selv vil leve op til · gensidighed gør aftalen lettere.
At kræve hele rapporten, når en erklæring er nok · kræv det, samarbejdet berører.
At underskrive krav, ingen har vurderet · lad den, der ejer sikkerheden, se dem først.
At glemme afslutningen · adgange og forbindelser skal lukkes, når samarbejdet stopper.

Hvad kan og ikke kan konkluderes

En aftale med gensidige forventninger til sikkerhed giver begge parter et grundlag for at handle, når noget ændrer sig eller går galt. Den kan ikke sikre, at partneren lever op til aftalen, og den siger intet om, hvordan ansvaret fordeles juridisk ved en skade. Det afhænger af aftalens ordlyd og af omstændighederne.

Tjekliste til forhandlingen

☐ Er det vurderet, hvor tæt samarbejdet knytter systemer og data sammen?
☐ Er dokumentation, test, orientering, ændringer og afslutning aftalt?
☐ Går forventningerne begge veje?
☐ Har den, der ejer sikkerheden, set aftalen før underskriften?
☐ Er partneren med i ledelsens overblik over forbundne virksomheder?

Kilder

The Cybersecurity Framework (CSF) 2.0: GV.SC-05 om krav i kontrakter og andre aftaler med leverandører og tredjeparter, GV.SC-08 om at inddrage dem i planlægning og håndtering af hændelser, og GV.SC-10 om forhold efter et samarbejdes afslutning.

Senest gennemgået: oktober 2026.