Har I outsourcet driften, er det ofte leverandøren, der først ser en hændelse. Det kan virke naturligt at lade leverandøren sende underretningen til myndighederne. Det er tilladt efter vejledningen, men ansvaret for, at underretningen kommer rettidigt, bliver hos jer.
En audit af den ordning ser derfor på to ting. Er aftalen klar nok til, at leverandøren kan handle på jeres vegne? Og kan I selv vise, at I følger med i, om det sker?
Hvad vejledningen siger
Situationen er behandlet i kapitel 2 i styrelsens vejledning om underretning fra juni 2025. Har en enhed overladt vedligeholdelsen af systemerne til en ekstern part, ligger pligten til at give CSIRT’en og de sektoransvarlige myndigheder besked om en væsentlig hændelse fortsat hos enheden selv. Vejledningen henviser til lovbemærkningerne til § 12.
Sektoransvarlig myndighed er vejledningens ord for den myndighed, loven kalder kompetent myndighed, altså den, der fører tilsyn med jeres sektor. CSIRT’en tager imod indberetningerne på nationalt plan.
Vejledningen nævner udtrykkeligt, at enheden kan aftale med driftsleverandøren, at leverandøren underretter på enhedens vegne. Den tilføjer, at ansvaret for en rettidig hændelsesunderretning dog altid påhviler enheden.
Vejledningen om cybersikkerhedsforanstaltninger (1. udgave juni 2025) nævner i afsnit 4 om leverandørstyring, at aftaler kan indeholde leverandørens pligt til at underrette enheden om hændelser og bistå med rapporteringen. Det er et forslag.
Hvad det betyder i praksis
Det følgende er tolkning af vejledningen og den praksis, en auditor vil måle efter.
Fristerne i § 13 gælder jer. Den tidlige varsling skal ske uden unødigt ophold og senest 24 timer efter, at I har fået kendskab til den væsentlige hændelse. Når leverandøren ser hændelsen først, er det et åbent spørgsmål, hvornår I har fået kendskab. En forsigtig læsning er at regne med, at uret kan begynde at gå, når leverandøren ved det. Det taler for, at aftalen sikrer, at I får besked med det samme.
Leverandøren kender ikke nødvendigvis jeres tjenester, kunder og egne tærskler for væsentlighed. Vurderingen af, om hændelsen er væsentlig, kræver ofte viden, der sidder hos jer. Lader I leverandøren både vurdere og underrette, er det en fordel, at aftalen siger, hvilket grundlag vurderingen sker på.
Fire punkter i en aftale
Kilderne fastlægger ikke aftalens indhold. Disse punkter er praksis.
Hvornår leverandøren giver jer besked. Vejledningens forslag om, at leverandøren underretter enheden om hændelser, er grundlaget. En tidsramme gør det målbart.
Hvem der vurderer væsentligheden. Er det leverandøren, jer eller begge i fællesskab, og hvem har det sidste ord?
Hvem der indsender, og hvordan I ser det. Underretning sker på virk.dk. Aftalen kan sige, at I får kopi af det indsendte med tidsstempel, så I kan dokumentere, at fristen er holdt.
De senere trin. Efter den tidlige varsling følger hændelsesunderretningen senest 72 timer efter kendskab og den endelige rapport senest en måned efter. Det giver mening, at aftalen dækker hele forløbet frem for det første trin alene. Fristerne for hvert trin er gennemgået i artiklen om varsling, underretning og rapport.
Flere leverandører på samme tid
Mange virksomheder har både en driftsleverandør, en eller flere cloudtjenester og en leverandør af et forretningssystem. Det er ikke givet, at den, der underretter, er den samme, som ser hændelsen først. Her er det praksis at lade jeres egen hændelseshåndtering være samlingspunktet, så alle beskeder løber ind ét sted hos jer, og ordningen med den underrettende leverandør bygger på det.
Sådan efterprøver en audit ordningen
Fremgangsmåden er praksis.
Auditor læser aftalen og ser, om de fire punkter er dækket. Dernæst ser auditor på jeres hændelsesprocedure. Auditor forventer, at den beskriver, at leverandøren underretter, og hvem hos jer der følger op.
For hændelser i perioden lægger auditor tre tidspunkter ved siden af hinanden, nemlig leverandørens første observation, beskeden til jer og indsendelsen. Uden hændelser at se på kan en fælles øvelse med leverandøren vise, om kæden holder.
Til sidst ser auditor på, hvordan I følger op på leverandøren som helhed. Det hører under leverandørstyringen og outsourcet drift. Hvordan en kunde går videre og efterprøver leverandørens egne processer, er emnet for audit af IT-leverandøren.
Hvad det kræver, og hvad det koster at lade være
Ordningen kræver en aftale med de fire punkter, en henvisning i hændelsesproceduren og en person hos jer, der følger op. Er aftalen allerede indgået, kan punkterne ofte tilføjes som et bilag.
Uden en klar aftale risikerer I, at hver part tror, den anden underretter. Hændelsen bliver så ikke underrettet, og det er jer, der står med ansvaret over for tilsynet.
Det skal I lade være med
- At skrive i aftalen, at leverandøren overtager ansvaret · vejledningen siger, at det bliver hos jer.
- At lade leverandøren vurdere væsentlighed uden jeres tærskler · leverandøren kender ikke jeres tjenester og kunder.
- At undlade at få kopi af det indsendte · uden den kan I ikke vise, at fristen er holdt.
Det skal auditten kunne vise
- ☐ En aftale, der giver leverandøren mandat til at underrette på jeres vegne.
- ☐ Aftalepunkter om besked til jer, vurdering, indsendelse og de senere trin.
- ☐ En hændelsesprocedure, der beskriver ordningen og jeres opfølgning.
- ☐ Kopier af indsendte underretninger med tidsstempler.
- ☐ Tidslinje fra leverandørens første observation til underretningen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kapitel 2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find aftalen med driftsleverandøren, og se, om den siger, hvem der indsender underretningen, og hvordan I får besked.
Læs også: Hvem kan afgøre, om hændelsen er væsentlig? · Underretning af kunderne efter § 15
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
