I skal holde øje med fem ting hos leverandører af kritiske systemer: vilkår, ejerskab, regnskab, supportdatoer og underleverandører. De ændrer sig som regel, før noget går galt, og giver tid til at åbne planen, mens I endnu kan vælge selv.
Leverandørovervågning lyder større, end det behøver at være. For en privat virksomhed er det et kvarters tjek pr. leverandør et par gange om året, og et sted at skrive det ned. Opgaven er alene at opdage, at noget bevæger sig. En ændring er sjældent et tegn på, at I skal væk. Den fortæller, at planen skal ses igennem.
Hvorfor netop de fem
Nogle af spørgsmålene står allerede i vejledninger, I kan støtte jer til. Blandt kriterierne for valg af leverandør peger SAMSIK på “leverandørens økonomi og geopolitiske risici”. Datatilsynets vejledning om cloud ser ejerskifte, opkøb, fusion og ny strategi hos databehandleren som mulige grunde til ekstra tilsyn. Den vejledning handler om persondata og er skrevet uden tanke på exit. Tanken kan alligevel overføres, for en ændring hos leverandøren er en anledning til at se efter.
Tilsynet forventer også, at den dataansvarlige kan overskue hele kæden af leverandører. Her bruger vi det som en grund til at se på kæden af hensyn til driften.
Vilkår
Standardvilkår kan ændres, og varslet ender ofte i en postkasse, ingen læser. Se efter ændringer i opsigelse, binding, dataudlevering, sletning og funktioner, der flyttes til dyrere pakker eller fjernes. Se også, om prismodellen er ændret i sin form, fx fra pr. bruger til et andet grundlag. Lad en navngiven person modtage leverandørens meddelelser, og gem hver version af vilkårene med dato.
Mekanismen med ensidige ændringer er beskrevet på digital-suveraenitet.dk. Her er opgaven at fange ændringen og spørge, hvad den betyder for planen.
Ejerskab
Se efter opkøb, nye investorer, fusioner og nye moderselskaber, også på højere niveau i koncernen. Pressemeddelelser, leverandørens egen hjemmeside og årsrapporten viser det som regel. Et ejerskifte er neutralt i sig selv. Det kan gøre leverandøren stærkere, men også ændre retning, support og prioriteter. Leverandøren er blevet opkøbt viser, hvad planen skal efterse.
Regnskab
For små og mellemstore leverandører er årsregnskabet et af de bedste tidlige tegn, og danske selskabers regnskaber er offentligt tilgængelige. I skal ikke være revisorer. Se efter store forandringer: negativ egenkapital, gentagne underskud, en forsinket årsrapport, en ny revisor eller en påtegning med forbehold. Følg også med i tegn, der ikke står i tal: mange nøglefolk stopper, support bliver langsommere, eller salget af produktet standser.
Det her er en løbende opfølgning af de leverandører, I allerede har. Det er ingen fuld gennemgang af selskabet. Ser I noget, stiller I et spørgsmål. Særligt for den lille nicheleverandør kan det være det vigtigste punkt, for dér er økonomien og få personer selve risikoen.
Supportdatoer
Skriv datoen for sidste sikkerhedsopdatering og afslutning af support ind for hvert kritisk produkt og hver større komponent, der ligger under det, fx database og styresystem. Det er det letteste punkt at holde styr på, og det mest oversete. Et varsel om udfasning skal straks ind i planen, se udfasningsbrevet.
Underleverandører
Mange SaaS-tjenester kører oven på en anden cloud. Se leverandørens liste over underleverandører igennem, når den ændrer sig, og spørg, om I selv får besked. En ny driftsplatform eller en ny underleverandør kan ændre jeres scenarier, se artiklen om den cloud, der ligger bagved.
Sådan gør I det i praksis
Lav en række pr. kritisk leverandør med de fem punkter og en kolonne til dato og bemærkning. Vælg en ansvarlig for hver leverandør, og giv tjekket en plads i årshjulet. Brug også de faste møder. Det kan tages op direkte, hvis I har opfølgningsmøder, og et spørgsmål om planer for produktet er helt almindeligt. Med sikkerheden som vinkel står sådan et møde på ciso-as-a-service.dk.
Skriv på forhånd, hvad et fund fører til. Tre trin rækker. Grøn betyder, at intet er ændret. Gul betyder, at planen skal ses igennem, og at der skal stilles et spørgsmål. Rød betyder, at en af udløserne i planen er nået, og at ledelsen skal orienteres.
Hvad det kræver, og hvad det koster at lade være
For hver kritisk leverandør kræver det et kvarter til en halv time et par gange om året, plus et møde, hvis noget er ændret. Overslaget er et spænd i timer og hører til det løbende arbejde.
Uden tjek opdager I ændringen, når den rammer. Et varsel kan være løbet ud, en supportdato kan være overskredet, og I står med kortere tid end nødvendigt. Hver uges forsprang er tid, der kan bruges på noget andet end at reagere, og det kan vejes mod dagstabet fra regnearket. Tjekket giver også noget i hverdagen. Det gør møderne med leverandøren bedre, og det er dokumentation for, at I følger op.
Det skal I lade være med
- At tolke enhver ændring som fare · de fleste kræver blot et blik på planen.
- At lave store analyser · fem punkter og en bemærkning er nok.
- At lade varsler gå til en fælles postkasse · nogen skal læse dem.
- At konfrontere leverandøren med et fund · start med et åbent spørgsmål.
Det skal planen kunne vise
- ☐ En række pr. kritisk leverandør med de fem punkter.
- ☐ Ansvarlig for hver leverandør og dato for seneste tjek.
- ☐ Gemte versioner af vilkår med dato.
- ☐ Supportdatoer for produkter og komponenter.
- ☐ Hvad et fund fører til, og hvem der får besked.
Kilder
- SAMSIK: Vejledning til NIS 2-loven, implementering af cybersikkerhedsforanstaltninger, juni 2025: s. 30.
- Datatilsynet: Vejledning om cloud, marts 2022 og siden om cloud.
Senest gennemgået: november 2026.
Næste skridt
Vælg jeres to vigtigste leverandører, og udfyld de fem punkter i dag. Find den seneste årsrapport, og skriv supportdatoerne ned. Giv derefter tjekket en dato i kalenderen.
Læs også: Årshjul for exit-arbejdet · Sådan spørger I leverandøren om exit
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
