Går leverandøren konkurs, skal I regne med, at tjenesten kan stoppe, før spørgsmålet om jeres data er afklaret. Det vigtigste kan derfor kun gøres på forhånd: at have en læsbar kopi af data hos jer selv. Første dag handler om at finde ud af, hvem der nu bestemmer over leverandørens drift, og om at sikre den adgang, I stadig har.
Der findes, så vidt vi har kunnet finde, ingen dansk afgørelse om, hvad der sker med kundedata i en cloudtjeneste ved en IT-leverandørs konkurs. Det følgende er derfor et ræsonnement på grundlag af konkursloven og forenklet. Det er ingen juridisk rådgivning, og det konkrete tilfælde er et spørgsmål til advokat.
Hvad konkursloven siger, i korte træk
Fire bestemmelser i konkursloven er nyttige at kende, før det sker:
- § 55: Boet kan vælge at indtræde i leverandørens aftaler. I kan forlange, at boet uden ugrundet ophold tager stilling.
- § 56: Indtræder boet, bliver det berettiget og forpligtet på aftalens vilkår.
- § 61: Boet kan med sædvanligt eller rimeligt varsel opsige en aftale om et vedvarende forhold, også selv om et længere varsel er aftalt.
- § 82: Ting, der tilhører andre, skal udleveres til den, der har ret til dem.
Det sidste punkt lyder betryggende. Om og hvordan bestemmelsen rammer jeres data på en leverandørs servere, kan vi ikke se af det materiale, vi har gennemgået. Vi vil derfor ikke skrive, at I har et bestemt krav. Den praktiske pointe kræver ingen jura. Selv hvis I har ret, tager det tid at få den, og imens kan serveren være slukket, fordi regningen til datacentret ikke er betalt.
§ 61 er også værd at læse med planen i hånden. Det varsel, der står i jeres kontrakt, er ikke nødvendigvis det, I får.
Sådan kan de første dage se ud
Skriv en kort rækkefølge ind i planen. Den skal kunne følges af en anden end den, der plejer at tale med leverandøren.
Dag 1. Bekræft, at konkursen er reel, og find kuratorens navn. Kontakt kurator skriftligt, oplys hvad I er kunde til, og spørg, om driften fortsætter, og hvor længe. Tag samtidig et friskt udtræk af alt, I kan nå, mens adgangen virker. Vent ikke på et svar med at gøre det.
Dag 2 og 3. Find ud af, hvem der reelt driver tjenesten. Mange leverandører lejer deres servere hos andre, og det er ofte dér, det afgøres, om tjenesten kører videre. Spørg kurator, om boet vil indtræde i jeres aftale, jf. § 55. Kontakt advokat, hvis tjenesten er kritisk. Orientér ledelsen og de kunder, der kan mærke det.
Dag 4 og frem. Beslut, om I går over til en reserveløsning. Kurator kan have behov for tid, og I kan have behov for at handle før det. Kontrollér også, at udtrækket faktisk kan læses, jf. er det hele kommet med?.
Tid, der ikke er med i planen, bliver brugt på at finde ud af, hvem der skal ringes til. En telefonliste med leverandørens nøglefolk er ofte mere værd, end man tror. De kan være de eneste, der ved, hvordan systemet er sat op, og de kan være på vej andre steder hen.
Det, der skal ligge hos jer i forvejen
Planen for dette scenarie er forberedelse. Det gælder især for små leverandører, hvor få personer holder sammen på tjenesten.
- En kopi af data, I selv kan læse. Den bør tages jævnligt og ligge uden for leverandøren. Testen af kopien er det, der gør den til en sikkerhed.
- Dokumentation af opsætningen. Konfiguration, integrationer og særlige tilpasninger.
- Kontoer og domæner i eget navn. Ligger de i leverandørens navn, får I endnu en ting at afklare med boet, se hvem ejer kontoen, domænet og abonnementet?
- Rettigheder til tilpasninger og eventuel deponering af kildekode. Hvad den kan hjælpe med, afhænger af, om nogen kan bruge koden, når leverandøren er væk.
DORA er et lovkrav, der kun gælder finansielle enheder, men det er en brugbar model for andre. Art. 30, stk. 2, litra d, kræver, at aftalen sikrer, at data kan tilgås, genoprettes og sendes tilbage i en let tilgængelig form, hvis udbyderen bliver insolvent, afvikles eller afbryder forretningen, eller aftalen opsiges. Art. 29, stk. 2, beder enheden tage højde for den insolvensret, der gælder, hvis udbyderen går konkurs, og for begrænsninger ved hastende genopretning af data. Kan I forhandle, er det formuleringer, der er værd at låne. Kan I ikke, er egen kopi det, der kompenserer.
SAMSIK spørger i sin vejledning til NIS2-loven, om kritiske leverandører kan skiftes i tide, blandt andet ved konkurs. Spørgsmålet er vejledende og ingen lovregel, og det er godt at kunne besvare.
Hvad det kræver, og hvad det koster at lade være
Forberedelsen består af en opsætning og en vane. Opsætningen er at få et udtræk til at køre og at skrive listen ovenfor, typisk nogle dages arbejde pr. kritisk system. Vanen er at kontrollere kopien med faste mellemrum. Begge dele får et lavt og et højt skøn over timerne og en dato, og kronerne sætter I selv på i jeres regneark.
Mangler kopien, kan data, kunder og processer stå uden grundlag i en periode, I ikke styrer, og det vejer tungere end advokatregningen. Beregn dagens tab med forretningens tal, og vurdér, hvor mange dage en reetablering fra bunden ville tage. Sæt det over for forberedelsen, og tilføj det, I får uanset hvad: en kopi, der også kan bruges ved et almindeligt nedbrud, og et bedre svar, når en kunde spørger.
Sandsynligheden er lav for de fleste leverandører. Hold øje med tegnene som en del af det løbende arbejde med leverandørerne.
Det skal I lade være med
- At regne med, at varslet i kontrakten holder · § 61 giver boet mulighed for et kortere varsel.
- At vente på kurators svar, før I tager et udtræk · det kan gøres, mens adgangen virker.
- At forudsætte, at data er jeres at hente · det er et åbent spørgsmål i praksis, og adgangen kan være væk imens.
Det skal planen kunne vise
- ☐ Hvor kopien ligger, hvor gammel den er, og hvornår den sidst blev læst.
- ☐ Hvem der kontakter kurator, leverandørens folk og advokat.
- ☐ Hvem der driver tjenesten bag leverandøren.
- ☐ Hvornår I går over til reserveløsningen, og hvem der beslutter det.
Kilder
- Konkursloven, LBK nr. 1162 af 9. november 2024: § 55, § 56, § 61 og § 82. Nyere ændringer er ikke tjekket.
- Forordning (EU) 2022/2554 (DORA): art. 29, stk. 2, og art. 30, stk. 2, litra d. Model uden for finans.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 32.
Senest gennemgået: november 2026.
Næste skridt
Find den leverandør, hvor et stop vil gøre mest ondt, og prøv i denne uge at tage et udtræk, I selv kan åbne. Beslut derefter, om leverandøren skal have en egentlig plan.
Læs også: Lille leverandør med et kritisk system · Egen kopi uden for leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
