En NIS2-audit af leverandørstyringen ser på jeres egne procedurer: hvordan I vælger leverandører, vurderer risikoen ved dem, skriver krav ind i aftalerne og følger op. Den auditerer ikke leverandørerne. Det, der skal kunne vises, ligger hos jer.
Forsyningskæden er et af de punkter, NIS 2-loven nævner udtrykkeligt, og når driften ligger ude af huset, ligger en del af sikkerheden hos andre. Netop derfor skal styringen af dem være synlig.
Kravet i loven
§ 6, stk. 1, nr. 4, nævner forsyningskædesikkerhed, herunder sikkerhedsaspekter vedrørende forholdet mellem enheden og dens direkte leverandører eller tjenesteudbydere. En direkte leverandør er i Styrelsen for Samfundssikkerheds ordliste en leverandør med en direkte aftale med enheden, som leverer produkter eller tjenester, der påvirker enhedens net- og informationssystemer.
Lovbemærkningerne, som vejledningen om cybersikkerhedsforanstaltninger (1. udgave juni 2025) gengiver, siger, at enheder skal udarbejde procedurer for leverandørstyring og for aftaleindgåelse med de leverandører, der kan påvirke sikkerheden. Enheder bør vurdere kvaliteten af produkter og tjenester og leverandørernes sikkerhedspraksis. Risici fra leverandører længere ude i kæden kunne enhederne overveje.
Hvad vejledningen kræver
Vejledningen har ét samlet “skal”. Kort fortalt skal der være procedurer for styring af de direkte leverandører, som sikrer både forsyningen og cybersikkerheden. Det gælder de leverandører, hvis leverancer kan slå igennem på den tjeneste, loven omfatter jer for. IT er med, og det samme er andre kritiske leverancer som strøm og teknisk bistand. Med procedurerne skal I kunne finde og vurdere risikoen ved den enkelte leverandør og skrive aftaler, der sikrer kravene.
To ting i sætningen er værd at hæfte sig ved for auditten. Kravet rækker ud over IT-leverandørerne, så en elleverandør eller en servicepartner på et produktionsanlæg kan høre med. Og en leverandør uden betydning for de omfattede tjenester falder uden for.
Udvælgelse og risikovurdering
Vejledningen anbefaler en risikobaseret og proportional tilgang. Der bør være kriterier for at vælge leverandører. Vejledningens eksempler er leverandørens praksis, dens evne til at opfylde specifikationer, klassifikationen af det, den leverer, forsyningssikkerheden, muligheden for en alternativ leverandør og leverandørens økonomi og geopolitiske risici.
Auditor ser efter en liste over leverandører med en vurdering af, hvor kritiske de er. Derefter vælges et par af de mest kritiske som stikprøver. For hver af dem spørger auditor, hvilke kriterier der blev brugt ved valget, og om der findes en risikovurdering, der er nyere end aftalen. Den slags opslag er almindelig auditpraksis.
Aftalepunkterne
Vejledningen giver en liste over, hvad aftaler kan indeholde. Den omfatter sikkerheds- og lovkrav, krav til personalets kompetencer, baggrundskontrol, pligt til at underrette om hændelser og hjælpe med enhedens egen rapportering, samarbejde ved tilsyn, enhedens ret til revision eller til at modtage revisionsrapporter, leveringstider, sårbarhedshåndtering, brug af underleverandører og forpligtelser ved ophør, som udlevering og bortskaffelse af data.
Listen er et “kan”. Auditor holder aftalerne for de kritiske leverandører op mod listen og spørger, hvordan de punkter, der mangler, er dækket på anden vis. Mangler en aftale fx pligten til at underrette jer om hændelser, er det svært at se, hvordan I selv kan nå fristerne for varsling og rapport. Skal leverandøren underrette myndigheden for jer, har det sin egen artikel om leverandøren, der underretter på jeres vegne.
Opfølgningen
Vejledningen anbefaler, at enheden sikrer, at leverandørerne holder kontraktens krav, fx gennem servicemål og revisionsmekanismer. Procedurerne bør gennemgås, og ændringer i leverandørernes praksis bør følges med planlagte mellemrum eller ved hændelser. Observationerne bør dokumenteres.
Er der et hul i leverandørstyringen, viser det sig tit her. Aftalen er god. Ingen har dog læst leverandørens rapporter eller holdt et opfølgningsmøde siden underskriften. Auditor beder om det seneste spor efter opfølgning for hver af de udvalgte leverandører: et mødereferat, en gennemgået erklæring eller en registreret afvigelse.
Grænsen for denne audit
En audit af jeres leverandørstyring kontrollerer det, I gør. Den går ikke ind hos leverandøren. Skal leverandørens egne kontroller efterprøves, eller skal I læse en erklæring fra leverandøren som modtager, er det et andet arbejde, der er beskrevet under audit af leverandører og revisionsret. Hvordan I håndterer den outsourcede drift i jeres egen audit, står i driften er outsourcet.
Leverandørstyring fyldte fem udsagn, da styrelsen i 2026 sendte et skema til kommunerne. Det var rettet mod kommuner og siger intet om private. Antallet viser dog, hvor fint emnet kan deles op.
Krydsreference
Vejledningen henviser under forsyningskæden til ISO/IEC 27001:2023 A.5.19, A.5.20, A.5.21 og A.8.30 og til NIST CSF 2.0 GV.SC-01, GV.SC-04 til GV.SC-07, GV.SC-09, GV.SC-10 og ID.RA-10.
Hvad det kræver, og hvad det koster at lade være
Arbejdet består i en leverandørliste med kritikalitet, en risikovurdering af de kritiske, en gennemgang af deres aftaler mod vejledningens liste og en fast rytme for opfølgning. Indkøb, IT og den forretningsansvarlige skal alle bidrage, fordi ingen af dem har hele billedet.
Uden styringen ved I ikke, hvilke leverandører der kan stoppe jeres tjenester, eller om de vil fortælle jer om en hændelse i tide. Tilsynet vil spørge til procedurerne, og en aftale, der ikke giver jer oplysninger eller adgang, kan sjældent rettes, før den skal genforhandles.
Det skal I lade være med
- At afgrænse leverandørlisten til IT · strøm og teknisk bistand kan også påvirke de omfattede tjenester.
- At underskrive og glemme · vejledningen anbefaler opfølgning med planlagte mellemrum.
- At kræve alt af alle · tilgangen bør være risikobaseret og proportional.
Det skal auditten kunne vise
- ☐ En procedure for leverandørstyring, der dækker udvælgelse, risikovurdering, aftaler og opfølgning.
- ☐ En liste over direkte leverandører med en vurdering af, hvor kritiske de er.
- ☐ En risikovurdering af hver kritisk leverandør.
- ☐ Aftaler med de kritiske leverandører, holdt op mod vejledningens punkter.
- ☐ Spor efter opfølgning på hver kritisk leverandør inden for den fastsatte periode.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 4 og kap. 4, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de fem leverandører op, som kan stoppe jeres omfattede tjenester, og find datoen for seneste opfølgning på hver af dem.
Læs også: Baggrundskontrol efter tre regelsæt · Sikkerhed ved anskaffelse
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
