Spørgsmål til IT‑leverandøren om sikkerhed og test

Når IT-driften ligger hos en leverandør, er ledelsens bedste anledning til at tale sikkerhed de møder, hvor kontrakten alligevel er på bordet: statusmødet, den årlige gennemgang og forhandlingen om fornyelse. Spørgsmålene behøver ikke være tekniske. De skal afklare, hvad leverandøren gør, hvordan det kan dokumenteres, hvordan ansvaret er delt, og hvilken ret virksomheden har til selv at kontrollere det. Svarene viser ledelsen, om den kan stå inde for sikkerheden i det, den har købt, eller om den reelt stoler på et løfte.

Det er ikke et udtryk for mistillid at spørge. En leverandør, der driver systemer for flere kunder, er vant til at svare. Det er ledelsens opgave at sørge for, at svarene også passer til netop denne virksomhed.

Ansvaret følger ikke med driften

Sikkerdigital.dk skriver i sin leverandørpakke til virksomhedsledere, at lederen har det endelige ansvar for, at virksomhedens IT-sikkerhed er i orden, også når en leverandør udfører arbejdet. Samme pointe står i vejledningen Cybersikkerhed i leverandørforhold, som i dag ligger hos Styrelsen for Samfundssikkerhed: en organisation har altid selv ansvaret for sin egen informationssikkerhed.

Det betyder ikke, at ledelsen skal kunne drive systemerne eller vurdere leverandørens tekniske valg. Det betyder, at den skal vide nok til at stille krav og følge op. Spørgsmålene nedenfor er bygget op om netop det. → Ansvaret kan ikke outsources

Fire spørgsmål til statusmødet

Leverandørpakken på sikkerdigital.dk peger på nogle få emner, som enhver leder kan spørge til. Omformuleret til et statusmøde kan de lyde sådan:

Hvordan beskytter I mod, at uvedkommende får adgang til vores systemer? · og hvordan styres jeres egne medarbejderes adgang?
Hvordan sikrer I, at systemerne er oppe? · og hvad sker der, hvis de ikke er?
Hvordan dokumenterer I sikkerheden? · hvilke rapporter, erklæringer eller undersøgelser kan vi få at se?
Hvem har ansvaret for hvad? · hvor går grænsen mellem jeres opgaver og vores?

Det sidste spørgsmål kan være det mest nyttige. Misforståelser opstår let, fordi begge parter tror, at den anden tager sig af noget, ingen af dem har påtaget sig. Bed om svaret skriftligt, hvis det ikke allerede står i kontrakten. Og stil gerne spørgsmålene igen efter et år, selv om svarene var gode sidst. Leverandøren kan have skiftet underleverandør, flyttet driften eller ændret sine egne procedurer, uden at det har været oplagt at fortælle kunderne om det.

Spørgsmål om test og kontrol

Den næste gruppe handler om, hvordan sikkerheden er afprøvet, og hvem der har gjort det.

Hvornår er de systemer, I driver for os, sidst testet? · og af hvem?
Er testen udført af jer selv eller af en uafhængig part? · det gør en forskel for, hvor meget resultatet kan bære.
Hvad blev fundet, og hvad er rettet? · i et sprog, vi kan forstå.
Må vi selv lade systemerne teste? · og hvad kræver det af jer?

Vejledningen Cybersikkerhed i leverandørforhold nævner en række måder, kunden kan kontrollere leverandøren på. Listen spænder fra statusmøder og skriftlig rapportering over leverandørens egenkontrol og ekstern gennemgang ved en uvildig tredjepart til sikkerhedstekniske undersøgelser, også kaldet penetrationstests. Ledelsen behøver ikke bruge dem alle. Den bør vide, hvilke der er aftalt. → IT-leverandøren tilbyder selv at teste

Spørgsmål ved kontraktfornyelse

Når kontrakten skal fornyes, har ledelsen sin stærkeste position. Det er her, krav kan skrives ind, så de kan håndhæves.

Står sikkerhedskravene i kontrakten? · eller kun i et tilbud eller en mail?
Har vi ret til at kontrollere, at kravene overholdes? · selv eller ved en tredjepart.
Er leverandøren forpligtet til at medvirke? · med tid, oplysninger og adgang, når der testes.
Hvad sker der med fund? · hvem retter, hvor hurtigt, og hvem betaler?
Gælder kravene også underleverandører? · det er ikke sikkert, at én leverandør klarer det hele selv.

Vejledningen anbefaler, at sikkerhedskravene skrives ind i kontrakten, så de kan håndhæves på lige fod med andre krav, og at aftalen giver kunden ret til selv eller ved en tredjepart at kontrollere, at leverandøren lever op til dem. Hvordan kontrakten konkret bør formuleres, er et spørgsmål for virksomhedens jurist eller advokat. Teksten er ikke juridisk rådgivning. → Kontrakten med IT-leverandøren

Når svarene er vage

Nogle svar fortjener et opfølgende spørgsmål. “Vi følger branchens standarder” fortæller ikke, hvilke. “Vi tester løbende” fortæller ikke, hvad eller hvem. “Det er dækket af vores certificering” fortæller ikke, om certificeringen omfatter de systemer, I bruger.

Spørg roligt videre: hvilke, hvornår, af hvem, og må vi se det? Et godt svar kan dokumenteres. Hvis leverandøren ikke vil dele noget, kan der være gode grunde, fx hensynet til andre kunder. Så kan ledelsen bede om et resumé eller en erklæring i stedet. Hvordan leverandørens side af sagen ser ud, beskriver penetration-test.dk. → Leverandørrisiko

Et tænkt eksempel

En tandlægekæde med otte klinikker har sin drift hos en lokal IT-leverandør. Ved den årlige gennemgang spørger direktøren for første gang, hvornår journalsystemets server sidst er testet. Leverandøren svarer, at de selv scanner regelmæssigt, men at ingen udefra har testet. Direktøren spørger, om kæden må få det gjort, og hvad det kræver.

Leverandøren er positiv, men beder om at blive orienteret i god tid og om at få en kopi af resultatet. Direktøren aftaler, at det skrives ind ved kontraktfornyelsen til foråret, sammen med en ret til at få fund rettet inden for en frist, der aftales i fællesskab.

Det skal I lade være med

At stille spørgsmålene første gang, når noget er gået galt · så bliver samtalen defensiv.
At nøjes med mundtlige svar · bed om det, der kan skrives ned.
At antage, at leverandøren tester · spørg, hvad der er testet, og af hvem.
At glemme underleverandørerne · kravene skal følge med hele vejen.
At lade fornyelsen glide igennem uden sikkerhedskrav · det er ledelsens bedste anledning.

Hvad kan og ikke kan konkluderes

Spørgsmålene giver ledelsen et billede af, hvad leverandøren gør, hvad der kan dokumenteres, og hvilke rettigheder virksomheden har. De kan ikke vise, om leverandørens sikkerhed holder i praksis. Det kræver, at nogen undersøger den, og at kontrakten giver ret til det. Gode svar på et møde er et udgangspunkt, ikke et bevis. Omvendt er vage svar ikke et bevis på, at noget er galt, men et tegn på, hvor ledelsen bør bede om mere.

Tjekliste før næste møde med leverandøren

☐ Har vi spurgt til adgang, oppetid, dokumentation og ansvarsfordeling?
☐ Ved vi, hvornår vores systemer sidst er testet, og af hvem?
☐ Står sikkerhedskravene i kontrakten?
☐ Har vi ret til selv at lade teste, og er leverandøren forpligtet til at medvirke?
☐ Gælder kravene også underleverandører?

Kilder

sikkerdigital.dk: Leverandørpakken til virksomhedsledere: lederens endelige ansvar og spørgsmål om adgang, oppetid, dokumentation, persondata og ansvarsfordeling.
Styrelsen for Samfundssikkerhed: Cybersikkerhed i leverandørforhold (vejledning, 2022): kundens eget ansvar, sikkerhedskrav i kontrakten, kundens ret til kontrol og eksempler på kontrolformer (afsnit 5.3).

Senest gennemgået: oktober 2026.