Leverandørers adgang gennemgås ved først at finde alle veje ind og derefter se, om hver vej er godkendt, tidsbegrænset og logget. Den sværeste del er den første: de fjernsupportværktøjer, en leverandør selv har installeret på en server for flere år siden, står ingen steder på listen.
Gennemgangen handler om den tekniske side. Aftalen med leverandøren, revisionsretten og kontrollen af leverandøren som aftalepart er et andet emne, beskrevet hos dem, der ser på kundens kontrol af IT-leverandøren.
Målestokken
Tre punkter i forordning 2024/2690’s bilag er relevante:
- En tjenesteudbyder må kun forbinde sig til enhedens systemer, når der er bedt om og givet tilladelse, og kun for et afgrænset tidsrum, fx en vedligeholdelsesopgaves varighed (punkt 6.7.2, litra h).
- Fjernadgang kontrolleres, herunder tjenesteudbyderes adgang (litra d).
- Privilegeret adgang og adgang til systemer logges (punkt 3.2.3, litra c og e).
Forordningen er kun bindende for de udbydere, artikel 1 nævner. At andre kan bruge punkterne som tjekliste, er vores læsning.
SAMSIK’s NIS 2-vejledning stiller spørgsmålene i et eksempel om forsyningskæden: Er leverandørernes adgang passende segmenteret og kontrolleret, og er der brugt principper som mindste rettighed, zero trust og tidsbegrænset adgang for eksterne parter? SAMSIK’s OT-guide tilføjer, at logning på fjernadgange viser fx fejlede login eller login på mistænkelige tidspunkter.
Find alle veje ind
Metoden er praksis. Ingen af kilderne beskriver den trin for trin. Den bygger på tre slags udtræk, driften selv kan trække.
Softwarelister. Fra styringsværktøjet eller direkte fra maskinerne trækkes en liste over installeret software på servere og klienter. Den gennemgås for programmer til fjernstyring og fjernsupport. Programmer, der er installeret som tjeneste og starter med maskinen, er de vigtigste.
Udgående forbindelser. Mange fjernsupportværktøjer forbinder sig ud til leverandørens tjeneste og venter dér på en forbindelse. De kræver ingen åbning ind. De findes derfor ikke i firewallens indgående regler, men i firewall- og proxyloggen som faste udgående forbindelser til de samme navne. Udgående trafik beskriver, hvordan den log læses.
Konti og adgange. Konti i kataloget, i VPN og på udstyr, der tilhører leverandører. Hver konto skal kunne knyttes til en navngiven leverandør og en aftale.
De tre lister samles i én. For hver vej ind noteres leverandøren, systemet, hvem der godkender brugen, om adgangen er altid åben eller åbnes efter anmodning, og hvor brugen logges.
Er adgangen tidsbegrænset?
Bilagets krav om autorisering pr. gang og en bestemt periode er den skarpeste målestok. Gennemgangen ser efter, om leverandørens konto eller værktøj er slået fra mellem opgaverne, og om det er nogen hos jer, der slår det til.
Den tænkte afvigelse: En leverandør af et fagsystem har et fjernsupportværktøj installeret som tjeneste på applikationsserveren. Det kører altid. Leverandøren kan koble sig på, når den vil, uden at nogen hos kunden ved det. Der er ingen log hos kunden, kun hos leverandøren.
Sporene
For hver vej ind skal det kunne ses, hvornår den blev brugt, og af hvem. Kilderne kan være:
- værktøjets egen log, hvis den gemmes hos jer
- login-hændelser på serveren
- VPN-loggen for leverandørens konto
- firewall- og proxyloggen for udgående forbindelser
Kan brugen ikke ses i jeres egen log, er det et fund. En log, kun leverandøren har, kan I ikke selv gennemgå.
Det kan driften selv
Driften kan begynde med det, der allerede står i styringsværktøjet. Søg softwarelisten igennem for programmer, der kan fjernstyre en maskine, og skriv for hvert fund op, hvilken leverandør der bruger det. Spørg derefter de største leverandører skriftligt, hvilke veje de bruger ind til jer. Svarene sammenholdes med listen.
Programmer, ingen leverandør vedkender sig, afinstalleres efter aftale med systemejeren. Og leverandørkonti, uden brug i flere måneder, slås fra, indtil der er en opgave.
Hvad det kræver, og hvad det koster at lade være
Det kræver softwarelister, en periode af firewall- og proxyloggen og en liste over leverandørkonti. Driften kan trække dem selv. Det tunge arbejde er at få hver leverandør til at bekræfte, hvilke veje de bruger.
En vej ind, I ikke kender, kan I ikke lukke, overvåge eller nævne i en aftale. Kommer en angriber ind gennem leverandøren, er det den vej, I bagefter skal kunne forklare.
Det skal I lade være med
- At lade fjernsupportværktøjer køre permanent som tjeneste · slå dem til, når der er en opgave.
- At stole på leverandørens log alene · I skal kunne se brugen selv.
- At dele én konto mellem alle teknikere hos leverandøren · så viser loggen ikke, hvem det var.
Det skal gennemgangen kunne vise
- ☐ En samlet liste over alle leverandørers veje ind med system og godkender.
- ☐ Fjernsupportværktøjer fundet i softwarelister og i loggen over udgående forbindelser.
- ☐ Tidsbegrænset adgang efter anmodning, eller en begrundelse for den faste.
- ☐ Spor af brugen i jeres egen log.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 3.2.3 og 6.7.2, læst 13. november 2026.
- SAMSIK, NIS 2-vejledning: Implementering af cybersikkerhedsforanstaltninger (juni 2025), læst 13. november 2026.
- SAMSIK, Beskyttelse af OT, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Søg softwarelisten fra jeres servere igennem for programmer til fjernstyring, og spørg hver leverandør, hvilke de bruger.
Læs også: Gæstebrugere og leverandørkonti i kataloget · Fund i det, leverandøren driver
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
