De fleste virksomheder kan ikke svare ja på stående fod, og det behøver I heller ikke. Et godt svar siger, hvilke leverandører der er kritiske, hvor lang tid det vil tage at komme ud, og hvad I har gjort ved det, der ikke kan nås. Spørgsmålet stammer fra SAMSIK’s vejledning til NIS2-loven og er et eksempel på en overvejelse, ingen lovtekst.
Det står på s. 32 under forsyningskædesikkerhed i et eksempel om en dansk virksomhed. I vejledningens ord lyder det: “Kan virksomheden skifte kritiske leverandører i tide” med konkurs, opkøb og sikkerhedsbrud som eksempler, efterfulgt af: “Har virksomheden alternative leverandører?” Svaret er jeres. Den sektoransvarlige myndighed vurderer, om lovens krav er opfyldt, og vejledningen siger selv, at den kan suppleres af sektorspecifik vejledning. Vi kender ingen tilsynspraksis om netop dette spørgsmål, så rådene nedenfor er vores vurdering.
Spørgsmålet ord for ord
Kritiske. Vejledningen spørger samme sted, hvilke leverandører der er kritiske for evnen til at levere, og hvem der er et enkelt fejlpunkt, altså steder hvor ét svigt stopper det hele. Start med de systemer, I ikke kan undvære. Listen bliver kortere, end de fleste tror.
Skifte. Det betyder at kunne gøre det, og det er en anden sag end at ville. Ingen spørger, om I har tænkt jer at gå. Plan B uden at flytte noget er derfor et gyldigt svar, se plan B uden at flytte.
I tide. Tiden skal sammenholdes med noget. Hvor længe kan I undvære tjenesten, og hvor længe varer vejen ud? Passer tallene ikke sammen, har I fundet en reel afhængighed. Se hvor længe kan I undvære systemet? og jeres egen exit-tid.
Konkurs, opkøb eller sikkerhedsbrud. De tre eksempler giver forskellig tid. Ved en konkurs kan adgangen forsvinde på dage. Ved et opkøb er der ofte måneder til at reagere. Et sikkerhedsbrud kan gøre, at I selv vil ud hurtigt, mens leverandøren er presset. Svar for hvert af dem.
Alternative leverandører. Der skal nok findes mindst ét bud på, hvad I ellers ville gøre. Det kan være en anden leverandør, egen drift eller en midlertidig manuel løsning. Findes der intet alternativ på markedet, skrives det. Ifølge Dansk Industris analyse er der på nogle områder få relevante alternativer, og et sådant svar er derfor ærligt. Se der findes ikke noget alternativ.
Resten af vejledningen om leverandører
Spørgsmålet står ikke alene. Tre andre steder hører med, når svaret skal skrives.
Under valg af leverandør nævner s. 30 som mulige kriterier jeres egen evne og mulighed for at vælge en anden og begrænse afhængigheden samt “leverandørens økonomi og geopolitiske risici”. Det er kriterier, I kan bruge, når en ny aftale skal indgås, se nyt system: exit-planen før underskriften.
S. 31 siger, at kontrakter eksempelvis kan have afsnit om leverandørens forpligtelser ved aftalens ophør. S. 33 spørger, om kontrakter indeholder krav om, hvad leverandøren skal gøre ved ophør. Se exit-vilkår i kontrakten.
Samme side spørger, om der er en plan for regelmæssig revurdering og klare kontaktpunkter til nøgleleverandører ved hændelser. Svaret holder altså kun, så længe det bliver opdateret.
Forsyningskædesikkerhed i loven er § 6, stk. 1, nr. 4. Leverandørstyringen som helhed er beskrevet under leverandørstyring på sikkerhed. Her er det det ene spørgsmål, der er emnet.
Sådan bygger I svaret
Lav én side med en række pr. kritisk leverandør og disse felter:
- Leverandør, tjenester og de forretningsopgaver, de bærer.
- Tolerance: hvor længe kan I undvære dem?
- Exit-tid, lav og høj vurdering, med dato.
- Tid ved konkurs, opkøb og sikkerhedsbrud, i ord eller som et interval.
- Alternativ, og hvor grundigt det er undersøgt.
- Seneste test, fx en eksport, med resultat.
- Hvad der er besluttet, hvis tiden ikke rækker.
Felt 7 er det vigtigste. Her står accepten, reserveløsningen eller planen.
Hvis en myndighed spørger
Et svar kan lyde sådan her, med jeres egne oplysninger:
“Vi har to kritiske leverandører. Tjeneste A kan vi forlade på den tid, vi kan undvære den, og en eksport er testet i år. Tjeneste B kan vi ikke nå ud af inden for tolerancen. Ledelsen har derfor besluttet en kopi uden for leverandøren og en manuel procedure, og vurderingen tages op igen til kontraktfornyelsen.”
Sådan et svar viser en vurdering, en beslutning og en dato. Det indrømmer også et hul, og det er bedre end et ja, der ikke kan underbygges. Lovens § 7 om ledelsens godkendelse gør det naturligt, at siden er set af ledelsen. Vi har ikke kendskab til, hvad en bestemt sektormyndighed vil bede om. Tjek det hos jeres egen myndighed.
Hvad det kræver, og hvad det koster at lade være
Siden kan laves på få dage for de kritiske leverandører, hvis kortlægning og tolerancer findes. Mangler de, er det arbejde, der også tjener resten af NIS2-indsatsen. En test af eksport og en undersøgelse af alternativer kommer oven i. Giv arbejdet et lavt og et højt bud i tid, og datér det.
Kan I ikke svare, opdager I det først, når nogen spørger, eller når en leverandør svigter. Find jeres eget tal for en dag uden tjenesten, og gang med forskellen mellem exit-tid og tolerance. Sammenhold tre ting: arbejdet med siden, tabet ved en leverandør, der forsvinder, og det, I får, selv om alle bliver: et samlet svar til kunder, bestyrelse og tilsyn, og et bedre grundlag ved næste fornyelse.
Det skal I lade være med
- At svare ja uden en målt tid · et ubegrundet ja holder ikke til et opfølgende spørgsmål.
- At læse spørgsmålet som et krav om at have en reserveleverandør · vejledningen spørger, og den stiller ingen sådan betingelse.
- At gøre alle leverandører kritiske · så er listen ubrugelig.
Det skal planen kunne vise
- ☐ Liste over kritiske leverandører med begrundelse.
- ☐ Tolerance og exit-tid for hver.
- ☐ Tid i de tre situationer konkurs, opkøb og sikkerhedsbrud.
- ☐ Alternativ, eller en begrundelse for, at der intet er.
- ☐ Ledelsens beslutning, hvor tiden ikke rækker.
Kilder
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 2 og PDF-s. 30 til 33. Vejledning, ingen lov.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 4, og § 7, stk. 1.
- Dansk Industri: Geopolitisk uro sætter fokus på digital suverænitet i virksomhederne, maj 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav siden for den vigtigste leverandør først, og udfyld de syv felter. Tag felt 7 op i ledelsen, hvis tiden ikke rækker.
Læs også: Kræver NIS2 en exit-plan? · Exit-status på én side
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
