Den, der driver cloud, datacenter eller IT for andre, er selv kunde hos andre. Forordning 2024/2690 pålægger i bilagets punkt 5 udbyderen at have en politik for sikkerheden i sin forsyningskæde, stille krav i kontrakterne, overvåge sine leverandører og føre et register over dem.
Det er let at glemme, når man er vant til at være den, der svarer på kundernes spørgeskemaer. Auditten af punkt 5 vender blikket den anden vej. Den ser på, hvad udbyderen gør med sine egne direkte leverandører og tjenesteudbydere.
Politikken i punkt 5.1.1
Enheden fastlægger og vedligeholder en politik for forsyningskædesikkerhed, der styrer forbindelserne med dens direkte leverandører og tjenesteudbydere. Den udpeger sin rolle i forsyningskæden og kommunikerer den til leverandørerne.
Den sidste del er særlig for udbydere. En MSP er både leverandør til sine kunder og kunde hos sine egne leverandører. Politikken skal sige, hvilken rolle enheden har over for hvem.
Udvælgelse i punkt 5.1.2
Når leverandører vælges, og kontrakter indgås, tager enheden efter punkt 5.1.2 bl.a. hensyn til:
- leverandørens cybersikkerhedspraksis, herunder sikre udviklingsprocedurer
- leverandørens evne til at opfylde specifikationerne
- kvaliteten og modstandsdygtigheden af produkter og tjenester
- evnen til at diversificere forsyningskilderne og begrænse leverandørfastlåsning, hvor det er relevant.
Punkterne er her gengivet i kort form. For auditten betyder det, at der skal være spor af vurderingen ved udvælgelsen. Et indkøb uden en dokumenteret vurdering af leverandørens sikkerhed opfylder ikke 5.1.2.
Kontraktpunkterne i punkt 5.1.4
Kontrakterne med direkte leverandører og tjenesteudbydere angiver, hvor det er relevant:
- sikkerhedskrav
- krav til viden, uddannelse og eventuelle certificeringer hos leverandørens ansatte
- baggrundskontrol af leverandørens ansatte
- pligt til at underrette uden unødig forsinkelse om hændelser
- retten til audit eller retten til at modtage auditrapporter
- pligt til at håndtere sårbarheder
- krav ved underentreprise
- forpligtelser ved kontraktens ophør, fx indhentning og sletning af oplysninger.
Forbeholdet “hvor det er relevant” gælder hele listen, og fravalg skal begrundes efter artikel 2, stk. 2. Punktet nævner retten til audit eller retten til at modtage auditrapporter. Kan enheden ikke få lov at auditere en stor leverandør, kan en ret til at modtage leverandørens auditrapporter altså dække punktet. Det er en læsning af ordlyden.
Hvordan kunden læser en leverandørs erklæring eller auditrapport, hører til kundens kontrol med IT-leverandøren.
Overvågning i punkt 5.1.6 og 5.1.7
Enheden overvåger, gennemgår og vurderer leverandørernes sikkerhedspraksis med planlagte mellemrum. Det sker bl.a. ved at se på rapporter om serviceleveranceaftaler, gennemgå hændelser hos leverandøren, vurdere behovet for spontane gennemgange og analysere risici ved ændringer hos leverandøren.
En kontrakt, der blev underskrevet for fem år siden og aldrig fulgt op, opfylder ikke kravet om overvågning.
Registret i punkt 5.2
Enheden fører et register over sine direkte leverandører og tjenesteudbydere. Det indeholder kontaktpunkter for hver af dem og en liste over de IKT-produkter, IKT-tjenester og IKT-processer, hver leverandør leverer.
Registret er grundlaget for resten af punkt 5. Uden det kan enheden ikke vise, at alle relevante leverandører har en kontrakt med de rette punkter.
Sådan prøver auditor punktet
Metoden er almindelig i audits og står ikke i forordningen.
Registret er udgangspunktet, og auditor holder det op mod bogholderiets leverandørliste og aktivfortegnelsen. Leverandører, der får betaling eller har adgang til systemer, men ikke står i registret, er et fund.
Dernæst vælger auditor nogle leverandører, især dem med adgang til kunders miljøer eller drift af kritiske systemer. For hver af dem ser auditor efter vurderingen ved udvælgelsen, kontraktens punkter efter 5.1.4 og spor af overvågning det seneste år.
Til sidst ser auditor på ophør. Er en leverandør stoppet for nylig, ser auditor efter, om data er hentet hjem eller slettet, og om adgangen er lukket.
Lovens tilsvarende krav til enheder uden for forordningen er beskrevet i audit af leverandørstyringen.
Leverandørens leverandører
Punkt 5.1.4 nævner krav ved underentreprise. Registret efter punkt 5.2 omfatter de direkte leverandører og tjenesteudbydere. Kravene til leddene længere ude i kæden kommer derfor gennem kontrakten med den direkte leverandør. Auditor ser efter, om kontrakterne siger noget om, hvad leverandøren må lægge ud til andre, og på hvilke vilkår. Den læsning er en tolkning af, hvordan de to punkter spiller sammen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en politik, et register med leverandører og deres leverancer, en skabelon til kontraktpunkterne og en plan for overvågning. Indkøb, jura og den sikkerhedsansvarlige skal arbejde sammen, fordi kravene både er tekniske og kontraktlige.
Uden styringen bliver udbyderens sikkerhed ikke bedre end den svageste leverandørs. En hændelse hos en underleverandør kan ramme alle udbyderens kunder på én gang.
Det skal I lade være med
- At lade registret være bogholderiets leverandørliste · punkt 5.2 kræver leverancerne pr. leverandør.
- At underskrive leverandørens standardkontrakt uden at tjekke punkt 5.1.4 · fravalg skal begrundes.
- At glemme ophøret · data og adgang skal håndteres, når kontrakten slutter.
Det skal auditten kunne vise
- ☐ En politik for forsyningskædesikkerhed med enhedens rolle beskrevet.
- ☐ Et register over direkte leverandører med kontaktpunkter og leverancer.
- ☐ Dokumenteret vurdering af sikkerheden ved udvælgelsen.
- ☐ Kontrakter med punkterne fra 5.1.4 eller begrundede fravalg.
- ☐ Spor af overvågning med planlagte mellemrum.
- ☐ Dokumentation for håndtering af data og adgang ved ophør.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 2 og bilaget punkt 5, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenlign jeres leverandørregister med de leverandører, der har adgang til jeres systemer, og skriv de manglende op.
Læs også: Driften er outsourcet · Leverandøren underretter for jer
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
