Når en kunde kræver en exit-plan, spørger den som regel om én af to ting: hvordan kunden kan komme væk fra jer, eller hvad I gør, hvis jeres egen kritiske leverandør svigter. Find først ud af, hvilken af dem kravet handler om. Derefter kan I vise det, I har, og sige ærligt, hvad der mangler, med en dato for, hvornår det er på plads.
Kravet kommer ofte i et spørgeskema eller som et tillæg til en aftale, og tit fra en kunde, der selv arbejder med NIS2-krav til leverandører eller med DORA. Det er kundens egen leverandørstyring, der er nået til jer. Læs også sikkerhedskravene i kundekontrakten, for de hører ofte med i samme pakke.
Hvad kunden står med
Det hjælper at vide, hvor kravet kommer fra, og hvor langt det rækker.
NIS2-loven nævner ikke exit. Loven fra 6. maj 2025 (nr. 434) har i § 6, stk. 1, krav om driftskontinuitet (nr. 3) og forsyningskædesikkerhed (nr. 4). SAMSIK’s vejledning nævner forpligtelser ved aftalens ophør som indhold i kontrakter og har et eksempelspørgsmål om at kunne skifte kritiske leverandører i tide. En kunde, der stiller krav om en exit-plan, tolker altså loven eller vælger et krav selv. Det er kundens valg og aftalens indhold, og der er intet lovkrav, som rammer jer direkte gennem dette spor.
DORA gælder kun finansielle enheder. De skal have exitstrategier når tjenesten er bærende for en kritisk eller vigtig funktion, jf. art. 28, stk. 8. Planerne skal være omfattende og veldokumenterede og testes i tilstrækkeligt omfang. Ifølge art. 30, stk. 3, litra f, skal der i aftalen stå en overgangsperiode, som er passende og obligatorisk. Leverer I til en finansiel virksomhed, er kravet derfor reelt, og det lander hos jer som en kontraktbestemmelse. Se også leverandør til en finansiel virksomhed.
Andre kunder spørger, fordi deres kunder spørger, eller fordi en bestyrelse har bedt om det. Her er kravet en forretningsbeslutning, og der kan tales om indholdet.
Det, vi skriver her, er vores vurdering af, hvad der ligger bag. Læs selve kravet, og lad en advokat se på bestemmelser, I skal underskrive.
Hvilket spørgsmål stiller kunden?
Spørgsmål 1: Kan vi komme væk fra jer? Kunden vil vide, om den får sine data, i hvilket format, med hvilket varsel og med hvilken hjælp. Det svarer I på med en beskrivelse af ophør, set fra kundens side.
- Hvilke data kan udleveres, og i hvilket format?
- Hvor lang tid tager et fuldt udtræk?
- Hvilken bistand tilbyder I, og på hvilke vilkår?
- Hvad sletter I bagefter, og hvordan bekræftes det?
Leverer I en cloudtjeneste, har I selv pligter efter kapitel VI i Data Act (dataforordningen), og så er det ikke en frivillig ydelse.
Spørgsmål 2: Hvad gør I, hvis I mister en vigtig leverandør? Kunden vil vide, om jeres leverance holder, hvis jeres hostingudbyder eller et vigtigt system falder væk. Det svarer I på med jeres egne planer for de leverandører, der bærer leverancen til kunden. Her er kortlægningen det vigtigste, for den viser, hvilke leverandører kunden faktisk er afhængig af.
Spørg kunden, hvis det ikke er klart, hvilket der menes. Det er helt almindeligt, og det sparer begge parter for arbejde.
Det, I kan vise
Kunder vil sjældent se hele planen. Den rummer oplysninger om jeres sårbarheder, jeres kontrakter og jeres leverandører. Lav i stedet et kort uddrag på en til to sider:
- At planen findes, hvem der ejer den, og hvornår den sidst er gennemgået.
- Hvilke leverandører og scenarier den omfatter, på et overordnet plan.
- At den er testet, hvornår, og med hvilket resultat i kort form.
- Hvad kunden kan forvente ved ophør.
Hvordan man kan vise dokumentation til kunder uden at give for meget væk, er også et tema i leverandørens dokumentation til kunder. Hold en liste over, hvad der er givet til hvem, så I kan rette, hvis noget ændres. Testrapporten er det stærkeste bilag, for den viser handling. Læs om den i testrapporten.
Når I ingen plan har
Så skal I ikke skrive, at I har en. Et forkert svar i et spørgeskema kan blive et kontraktbrud eller et problem, når kunden senere beder om at se den. Skriv i stedet tre ting: hvad I har i dag, hvad I er i gang med, og hvornår det er færdigt. Tre linjer kan se sådan ud:
Vi har en oversigt over kritiske leverandører og kan eksportere kundens data i det format, der er beskrevet i bilaget. En exit-plan for de to vigtigste systemer er under udarbejdelse og er færdig senest [dato]. Vi deler et uddrag og resultatet af første test, når de foreligger.
Begynd med de leverandører, kunden faktisk er afhængig af, og lav en kort plan for dem. Det er en rimelig måde at få et krav til at give værdi på.
Hvad det kræver, og hvad det koster at lade være
Et uddrag tager en dag eller to, når planen findes. Findes den ikke, begynder arbejdet med de to eller tre leverandører, der bærer kundens leverance: nogle dage til kortlægning og en første test pr. leverandør. Giv hver post et spænd fra lavt til højt og en dato.
Uden svar kan det koste kunden. Vurder i jeres egne tal, hvad kunden er værd for jer, hvor mange kunder der kan stille det samme krav, og hvor meget tid der går med at svare på enkeltvise spørgeskemaer. Hold det op imod arbejdet med én plan, der kan bruges igen. Planen er også det, der giver jer selv overblikket, så de samme timer tæller to gange.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At sige ja til et krav, I ikke har læst · en bestemmelse om “exit-plan efter DORA” kan indeholde mere, end I regner med.
- At sende hele planen · uddraget er nok, og resten skal blive hos jer.
- At svare, at I har en plan, I ikke har · sig, hvor I er, og hvornår I er færdige.
Det skal planen kunne vise
- ☐ Hvilket af de to spørgsmål kravet handler om.
- ☐ Et uddrag med ejer, dato og testresultat, der kan sendes.
- ☐ Hvad kunden får ved ophør: data, format, tid, bistand og sletning.
- ☐ Et overblik over kunder og de versioner, de har fået.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 3 og 4.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 31 og 32.
- Forordning (EU) 2022/2554 (DORA): art. 28, stk. 8, og art. 30, stk. 3, litra f.
- Forordning (EU) 2023/2854 (Data Act): kapitel VI.
Senest gennemgået: november 2026.
Næste skridt
Spørg kunden, hvilket af de to spørgsmål kravet handler om, og noter det. Beslut derefter, hvem der laver planen, og hvornår den skal være klar.
Læs også: Testrapporten · Kræver NIS2 en exit-plan?
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
