Viser NIS2-arbejdet, at I hænger på én leverandør, er næste skridt at vurdere fundet, tage en beslutning og sætte en dato på. Det kræver ikke, at I forlader leverandøren. Loven siger intet om exit, og mange fund ender med en accept eller et par små greb. Det, der tæller, er, at fundet ikke bliver stående som en linje i et regneark.
NIS2-krav som dem i lovens § 6 fører ofte til netop denne situation. Risikovurderingen sætter ét navn øverst, og det er typisk den leverandør, der både har mail, filer og login, eller som driver hele IT. Arbejdet med selve leverandørstyringen er beskrevet under leverandørstyring på sikkerhed. Her følger vi ét fund videre, fra det bliver opdaget, til det har en ejer.
Hvad lov og vejledning siger om afhængighed
Loven nævner forsyningskædesikkerhed i § 6, stk. 1, nr. 4, herunder forholdet til direkte leverandører og tjenesteudbydere, og driftskontinuitet i nr. 3. Nr. 6 handler om at vurdere, om foranstaltningerne virker. § 6, stk. 2, siger, at en virksomhed uden unødigt ophold skal træffe korrigerende foranstaltninger, hvis den ikke opfylder kravene. Om jeres fund er sådan et tilfælde, er en konkret vurdering.
SAMSIK’s vejledning fra juni 2025 går tættere på. På s. 30 er muligheden for at vælge en anden leverandør og holde afhængigheden nede et kriterium for valg af leverandør. S. 31 peger på et afsnit i kontrakten om, hvad leverandøren skal ved ophør. Og s. 32 har spørgsmålet, der tit udløser arbejdet: om kritiske leverandører kan skiftes “i tide”, fx efter en konkurs, et opkøb eller et sikkerhedsbrud, og om der findes alternativer.
Det er et eksempelspørgsmål i en vejledning og ikke et lovkrav. I kan besvare det, som I finder rigtigt. Den sektoransvarlige myndighed vurderer, om kravene er opfyldt. Sektorregler kan stille mere detaljerede krav, og dem har vi ikke gennemgået her. At vi kobler fundet til en plan, er vores vurdering af, hvad der er fornuftigt. Spørgsmålet om lovens krav i sig selv er behandlet i kræver NIS2 en exit-plan?.
Fra fund til plan med dato
Fem trin fører et fund hele vejen frem. Skriv dem som en lille sag, med et navn på hver.
1. Skriv fundet præcist. “Vi er afhængige af vores driftsleverandør” er for bredt. Skriv hvilken leverandør, hvilke tjenester og hvilke forretningsopgaver. “Mail, filer og login til ni systemer ligger hos én udbyder, og vi har ingen kopi uden for den.” Det er et fund, nogen kan handle på.
2. Mål det. Hvor længe kan I undvære tjenesten? Hvor længe varer en exit? Hvad koster en dag i jeres egne tal? Det behøver ikke være præcist, men det skal stå som et spænd med dato.
3. Vælg mellem tre svar. Ledelsen kan acceptere risikoen med en begrundelse, mindske den med små greb, eller bede om en exit-plan. Små greb kan være en kopi af data, flytning af domæne til eget navn eller en reserveprocedure. Foranstaltningerne kræver ledelsesorganets godkendelse efter § 7, stk. 1, så det svar hører hjemme hos ledelsen.
4. Sæt dato og ejer på. Hvem gør hvad, og hvornår er det klar? Tag gerne det mindste først. En eksporttest kan gennemføres, mens planen skrives.
5. Luk sagen i dokumentationen. Skriv ind i risikovurderingen, hvad der blev besluttet, hvornår, og hvad resultatet er. Det er den sammenhæng, der kan vises, hvis nogen spørger.
Sådan svarer I på SAMSIK’s spørgsmål
Når trinnene er gennemført, kan I svare med tre sætninger. Vi har vurderet den kritiske leverandør. For dette system kan vi nå ud inden for denne tid, og vi har prøvet at eksportere data, resultat vedlagt. Alternativ leverandør er undersøgt på det niveau, vi har vurderet som passende.
Svaret må gerne være, at der ikke findes noget realistisk alternativ på kort sigt. Så skriver I, hvad I gør i stedet. Dansk Industri beretter i sin analyse fra maj 2026 om få relevante alternativer på nogle områder, så den situation er langt fra enestående. Læs mere under der findes ikke noget alternativ.
Hvis afhængigheden er jeres IT-leverandør
For virksomheder uden IT-afdeling er det ofte selve IT-leverandøren, der står øverst på listen. Det gør samtalen svær, fordi den, der skal hjælpe med planen, er den, planen handler om. Tag det åbent op, og lad dem bidrage med fakta. Beslutningen og ejerskabet af planen bør ligge hos jer. Se må IT-leverandøren skrive planen?.
Hvad det kræver, og hvad det koster at lade være
Fem trin for ét fund svarer til nogle arbejdsdage over et par uger, hvis oplysningerne allerede findes efter NIS2-arbejdet. En egentlig exit-plan for systemet kommer oven i, og den vurderes særskilt. Timerne skrives som et spænd og dateres.
Lader I fundet ligge, står det stadig i risikovurderingen. Så har I dokumenteret, at I kendte til problemet og ikke gjorde noget, og det er sværere at forklare end et bevidst valg. Sammenhold tre ting i jeres eget ark: arbejdet med fundet, tabet pr. dag gange et realistisk antal dage, og udbyttet uden flytning. Det sidste er, at samme materiale kan bruges over for kunder, bestyrelse og tilsyn, så I kun skal lave det én gang.
Det skal I lade være med
- At læse SAMSIK’s eksempelspørgsmål som et lovkrav · det hjælper jer med at spørge rigtigt.
- At lade risikovurderingen slutte med fundet · uden beslutning og dato er arbejdet halvt.
- At konkludere, at I skal skifte leverandør · vurderingen handler om at kunne, og at vide hvad det kræver.
Det skal planen kunne vise
- ☐ Fundet skrevet præcist, med leverandør, tjenester og opgaver.
- ☐ Tolerance, exit-tid og tab pr. dag med dato.
- ☐ Ledelsens beslutning og dens begrundelse.
- ☐ Ejer, dato og sammenhæng tilbage til risikovurderingen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 3, 4 og 6, § 6, stk. 2, og § 7, stk. 1.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 30 til 32.
- Dansk Industri: Geopolitisk uro sætter fokus på digital suverænitet i virksomhederne, maj 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag det øverste fund i risikovurderingen, og skriv det om, så det er præcist. Læg det derefter frem til beslutning med de tre mulige svar.
Læs også: Kan I skifte kritiske leverandører i tide? · Vi gør ingenting: bevidst accept
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
