Ledelsen svarer ved at sige, hvilke forretningsfunktioner virksomheden skal kunne køre videre uden den nuværende leverandør, og inden for hvilken tid. Så er risikovilligheden skrevet ned på en måde, IT og indkøb kan bruge, og afhængighed bliver et valg med en pris. Uden det svar afgøres grænsen af det næste indkøb, og ingen har besluttet noget.
Leverandørafhængighed er ofte det rigtige valg. Få leverandører giver lavere arbejdsbyrde, bedre sammenhæng og færre ting at holde styr på. Det er en strategisk risiko af samme slags som en stor kunde eller en enkelt fabrik, og den skal håndteres på samme måde. Her handler det om, hvad ledelsen skriver på papiret.
Hvorfor beslutningen ligger hos ledelsen
Afhængighed er en afvejning af effektivitet mod handlefrihed. Den afvejning kender IT-chefen ikke hele baggrunden for, og IT-leverandøren er part i sagen.
NIS2-loven nævner ikke exit. Efter § 7, stk. 1, skal sikkerhedsforanstaltningerne godkendes af ledelsesorganet, og § 6, stk. 1, nr. 4, omfatter forsyningskædesikkerhed. Vores læsning er, at en beslutning om afhængighed passer naturligt ind i det arbejde, hvis virksomheden er omfattet. SAMSIK’s vejledning nævner i afsnittet om valg af leverandør, om I har mulighed for at vælge en anden og holde afhængigheden nede. Det er vejledning og ikke et krav i loven.
For finansielle virksomheder står det hårdere. DORA art. 28, stk. 1, litra a, lader det fulde ansvar blive hos virksomheden, og art. 29, stk. 1, kræver en vurdering af, om en aftale munder ud i en leverandør, “som ikke er let at erstatte”. Uden for finans er vurderingen en model, der er værd at låne.
Sådan skrives en risikovillighed
En brugbar formulering har fire led: funktion, afhængighed, tid og konsekvens.
Tænkt eksempel: “Ordrebehandlingen må gerne ligge hos én leverandør. Vi skal kunne fortsætte med vores data et andet sted inden for den tid, vi har sat, og vi tester det hvert år. Kan vi ikke, tager ledelsen sagen op.” Eksemplet er tænkt, og I skal selv sætte tiden.
Den sætning kan IT regne på, indkøb kan bruge den ved næste fornyelse, og revision og kunder kan læse den.
Tre klasser er som regel nok
Del funktionerne op i tre klasser.
Skal kunne forlades. Funktioner, hvor en langvarig mangel vil true forretningen. Her vil I have en plan, en test og en egen kopi af data.
Bør kunne forlades, med længere tid. Vigtige funktioner, hvor I kan klare jer i en periode. Her er en kort plan nok, og alternativer noteres.
Accepteret afhængighed. Funktioner, hvor I bevidst lever med at være bundet, fx fordi der ikke findes alternativer, eller fordi systemet kan undværes. Her står beslutningen og en dato for næste vurdering. Filteret i filteret for systemer uden plan kan sortere de fleste systemer.
Klasserne følger forretningen, så fordel dem ud fra funktion. Ét system kan bære flere funktioner, og et stort samlet system får den højeste klasse af dem, det bærer. Det er her, koncentration viser sig. Når mange funktioner ligger hos samme leverandør, er det ledelsens opgave at se det samlet, også selv om hvert system hver for sig ser fint ud.
Fire spørgsmål til mødet
Beslutningen behøver ikke tage lang tid, hvis mødet er forberedt. Læg fire spørgsmål frem.
- Hvilke funktioner kan vi ikke undvære i mere end kort tid?
- Hvor mange af dem ligger hos samme leverandør eller på samme platform?
- Hvad ville vi gøre, hvis den leverandør forsvandt, blev opkøbt eller ændrede vilkår?
- Hvad er vi villige til at bruge af tid og arbejde på at kunne svare?
Svarene skal i referatet, og beslutningen skal have en ejer. Den enkle fordeling mellem ledelse og IT står i hvem ejer exit-planen?. Listen over funktioner kan bygge på det, der allerede findes, se hvilke systemer I ikke kan undvære.
Når I ikke kan forhandle
Mange virksomheder kan ikke ændre deres vilkår. Standardaftaler, branchesystemer og køb gennem partner lader sjældent rum til det. Risikovilligheden virker alligevel, for den handler om jeres eget beredskab. Har I ingen indflydelse på leverandøren, kan I stadig bestemme, hvilke data I har en kopi af, hvad I prøver af, og hvad I gør, hvis det ikke går.
Den samme formulering kan bruges den anden vej. Opfylder en ny aftale ikke grænsen, er det et punkt til ledelsen før underskriften, og det er billigere end efter.
Hvad det kræver, og hvad det koster at lade være
Beslutningen kræver et forberedt møde og en side tekst. Forberedelsen består af funktionsliste, leverandører og et groft skøn over tiden ud, i timer, som interval og med dato. Det dyre er de tiltag, som klasserne udløser. Derfor skal ledelsen se dem samtidig.
Lader I være, træffes valget stadig, bare af den, der køber næste abonnement. Mange små valg ender med en koncentration, ingen har godkendt. Ved et stop opgøres tabet i jeres egne tal, pr. dag for de funktioner, leverandøren bærer, gange forventet varighed.
Når intet sker, har I stadig en fælles retning for indkøb, et klart svar til kunder og et grundlag for at sige fra over for det næste salgsmøde.
Det skal I lade være med
- At skrive en politik uden tid · “lav afhængighed” kan ingen teste.
- At vurdere system for system alene · den samlede afhængighed ses kun, når systemerne lægges sammen.
- At lade IT-leverandøren formulere grænsen · den beslutning ligger i ledelsen.
Det skal planen kunne vise
- ☐ Den ledelsesbeslutning, planen bygger på, med dato.
- ☐ Funktionens klasse og den tid, ledelsen har sat.
- ☐ Om planen lever op til tiden, eller hvad der mangler.
- ☐ Hvor samme leverandør bærer flere kritiske funktioner.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, og § 7, stk. 1.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnittet om valg af leverandør.
- Forordning (EU) 2022/2554 (DORA): art. 28, stk. 1, og art. 29, stk. 1. Gælder finansielle enheder.
Senest gennemgået: november 2026.
Næste skridt
Sæt de fire spørgsmål på dagsordenen, og bed om en kort liste over funktioner og leverandører til mødet.
Læs også: Vi gør ingenting: bevidst accept · Bestyrelsen spørger om plan B
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
