Fra opsigelsen er sendt, og til leverandøren er helt ude, skal tre ting være aftalt: hvilke servicemål der gælder, hvordan sikkerheden holdes, og hvornår leverandørens adgange fjernes. Punkterne hører hjemme i planen, før I siger op, fordi ophørsperioden er den tid, hvor opmærksomheden naturligt falder.
Det skyldes ingen ond vilje. En leverandør, der har mistet en kunde, flytter naturligt sine folk til andre opgaver, og jeres egne folk har travlt med det nye. Artiklen ser på serviceniveau efter opsigelse og på den praktiske afslutning. Selve flytningen er uden for emnet.
Serviceniveau i ophørsperioden
Vejledningen Cybersikkerhed i leverandørforhold, som CFCS og Digitaliseringsstyrelsen har skrevet til myndigheder, siger, at aftalen ved ophør bør rumme leverandørens forpligtelser og fortsatte servicemål i ophørsperioden. Den nævner udtrykkeligt to situationer: at aftalen opsiges frivilligt, og at den ophører efter en tvist. Læg mærke til den anden. Det er her, servicemålene er mest værd.
For cloudtjenester under Data Act (dataforordningen) gælder aftalen videre i overgangsperioden, og udbyderen skal handle med fornøden omhu for at holde forretningen i gang (art. 25, stk. 2, litra a). I andre aftaler må I læse kontrakten, se kontrakter uden for Data Act. Statens driftskontrakt K04 er en brugbar model, læst 6. november 2026. Efter bilag 18 fortsætter leverandøren på de hidtidige vilkår indtil overdragelsesdagen, og leverandørens overdragelsesansvarlige har status af nøglemedarbejder.
Tag stilling til fem ting:
- Gælder servicemål og rapportering uændret, indtil overdragelsen er sket?
- Gælder de også for support, ændringer og små rettelser, eller kun for drift?
- Må leverandøren flytte nøglefolk væk i perioden?
- Hvem hos jer modtager fejl og afgør, om noget stadig skal rettes?
- Hvad gælder for en planlagt opdatering, der falder midt i perioden?
Det sidste punkt overses ofte. En stor opdatering hos leverandøren kan ændre det grundlag, I lige har testet. Bed om besked, så I kan flytte den eller tage højde for den.
Sikkerheden under afviklingen
Vejledningen fra CFCS og Digitaliseringsstyrelsen anbefaler, at parterne laver en plan for, hvordan det aftalte sikkerhedsniveau holdes under hele afviklingen. For cloudtjenester skal udbyderen opretholde et højt sikkerhedsniveau også i udtræksperioden (Data Act art. 25, stk. 2, litra a).
Risikoen stiger af gode grunde i perioden. Data flytter, midlertidige konti oprettes, nye parter får adgang, og folk arbejder hurtigere end normalt. Gennemgå derfor tre spørgsmål på forhånd. Hvordan overføres data, og hvordan beskyttes de undervejs? Hvem får midlertidig adgang, og hvornår udløber den? Hvem overvåger logfiler, hvis leverandøren holder op med det? Tavshedspligten skal fortsætte efter ophøret, og det bør stå i aftalen.
Er det persondata, er der yderligere krav, se persondata under dataudleveringen.
Adgangene ud, i rækkefølge
Ved ophør bør kunden fjerne alle leverandørens fysiske og logiske adgange rettidigt. Det anbefaler vejledningen også, og opgaven er større, end den lyder. Lav en liste, mens leverandøren stadig hjælper.
- Fjernadgang og VPN. Tekniske forbindelser ind til jeres systemer.
- Administratorkonti. Også fælles konti og servicekonti, der bruges af integrationer.
- Nøgler og koder. API-nøgler, certifikater og delte adgangskoder skal skiftes. En kode, leverandøren har kendt, skal ikke leve videre.
- Domæne, DNS og abonnementer. De skal ligge på jeres egne konti, se hvem ejer konti, domæne og abonnement?.
- Fysisk adgang. Nøgler, adgangskort, alarmkoder og udstyr.
- Mailadresser og kontaktlister. Leverandørens folk skal ud af jeres nødlister og fordelingslister.
Fjern ikke for tidligt. Har I en vej tilbage, skal adgangene gælde, så længe den er åben, se vej tilbage. Lav i stedet en dato for hvert punkt, og lad en person fra jeres side kvittere.
Afslutningen
CFCS og Digitaliseringsstyrelsen nævner, at kunden kan udpege en rolle, der følger afviklingen, så den sker efter planen og er tilstrækkeligt dokumenteret, før samarbejdet formelt afsluttes. Rollen er værd at have, også i en lille virksomhed. Det er ofte IT-chefen eller den, der ejer kontrakten.
Hold korte møder med faste mellemrum fra opsigelsen til slutdatoen, med en enkel liste over punkter og åbne sager. Afslut med en kvittering: data modtaget og kontrolleret, sletning bekræftet, adgange fjernet, dokumentation modtaget, åbne fakturaer og krav afklaret. Beslut samtidig, om leverandøren skal gemme logfiler i en periode, så en senere sikkerhedshændelse kan undersøges.
Går opsigelsen den anden vej, og er det leverandøren, der siger jer op, kan situationen være en anden, se leverandøren opsiger jer.
Hvad det kræver, og hvad det koster at lade være
Ophørsperioden kræver en ansvarlig med tid afsat, en adgangsliste og faste møder. Tiden er en reel post i overslaget. Den kommer oven i den daglige drift og i arbejdet med afløseren. Sæt et lavt og et højt bud pr. system med dato. Hos leverandøren kan noget af arbejdet være betalt bistand.
Springer I punktet over, kan fejl i den sidste del af aftalen stå uløst, og en gammel adgang kan leve videre i årevis, uden at nogen kender den. En hændelse i perioden kan koste dage. Opgør tabet med jeres egne tal: dagstabet i forretningen plus de arbejdstimer, en undersøgelse af en sikkerhedshændelse tager.
Listen har værdi også uden exit. Oversigten over adgange, nøgler og kontoejere skal I bruge ved en hændelse, ved leverandørkontrol og når en medarbejder stopper.
Det skal I lade være med
- At antage, at aftalen klarer sig selv til sidste dag · følg op med faste møder.
- At slukke adgange, før vejen tilbage er lukket · hver adgang skal have sin egen dato.
- At glemme servicekonti og delte koder · de er dem, der lever længst.
Det skal planen kunne vise
- ☐ Hvilke servicemål der gælder fra opsigelse til overdragelse.
- ☐ En plan for sikkerheden under afviklingen.
- ☐ En liste over alle leverandørens adgange med slutdato.
- ☐ Hvem hos jer der følger afviklingen og kvitterer.
- ☐ Hvad der gælder for tavshedspligt og logfiler efter ophør.
- ☐ En afsluttende kvittering med dato.
Kilder
- CFCS og Digitaliseringsstyrelsen: Cybersikkerhed i leverandørforhold, 2022: afsnit 6.
- Forordning (EU) 2023/2854 (Data Act): art. 25, stk. 2, litra a.
- K04, Bilag 18, Forpligtelser ved ophør: punkt 2 og 6, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over leverandørens adgange til jeres mest kritiske system nu, mens intet er på vej. Beslut derefter, hvem der får rollen som ansvarlig for en afvikling.
Læs også: Overgangsperioden · Ophørsbistand
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
