Når en teknisk gennemgang finder fejl i systemer, som en driftsleverandør driver, opstår et praktisk spørgsmål for hvert fund: er det en fejlopsætning, leverandøren burde have undgået inden for det aftalte, eller er det et nyt ønske, der ligger uden for aftalen? Svaret afgøres af den konkrete aftale, og ingen kilde trækker grænsen generelt.
Det, driften kan gøre, er at sortere fundene ordentligt, før de sendes til leverandøren. Så bliver samtalen om de enkelte fund og ikke om rapporten som helhed.
Hvad målestokkene giver
Efter punkt 5.1.4 i bilaget til forordning 2024/2690 angiver de omfattede enheders kontrakter med leverandører, hvor det er relevant og også gennem serviceleveranceaftaler, bl.a. cybersikkerhedskrav, pligt til at underrette om hændelser, ret til audit eller auditrapporter og en forpligtelse for leverandører og tjenesteudbydere til at håndtere sårbarheder. Punkt 5.1.7, litra a, beder om, at rapporter om serviceleveranceaftaler overvåges regelmæssigt.
DORA’s tekniske standard, artikel 11, siger for finansielle enheder, at der for aktiver, en tredjepart driver, tages hensyn til gennemførelsen af leverandørens anbefalede indstillinger for de elementer, enheden selv driver, og at roller og ansvar skal være klart fordelt.
De statslige tekniske minimumskrav siger, at myndigheden skal sikre, at kravene overholdes, når en ekstern leverandør driver systemet, og at kravet gælder den infrastruktur, der indgår i leverancen. Det gælder statslige myndigheder, men princippet er det samme for alle: ansvaret for, at kravene er opfyldt, flytter ikke med driften.
Tre spørgsmål pr. fund
Sorteringen kan bygges på tre spørgsmål. Spørgsmålene er praksis.
Hvem driver det berørte element? Nogle elementer drives helt af leverandøren, andre deler I, og andre igen driver I selv, selv om de står på leverandørens platform. DORA-standardens skel mellem det, leverandøren driver, og det, enheden selv driver, er en god måde at tænke det på.
Hvad siger aftalen om elementet? Se efter beskrivelsen af ydelsen, de sikkerhedskrav, der er skrevet ind, og den måde, opdateringer og konfiguration er beskrevet. Står der, at leverandøren opdaterer styresystemet efter producentens anvisninger, er manglende opdateringer et fund inden for aftalen. Står der intet om en bestemt indstilling, er det mindre klart.
Hvilken målestok var aftalt? Har I aftalt en baseline, fx producentens sikkerhedsbaseline eller en anden, er en afvigelse fra den et fund inden for aftalen. Er der ikke aftalt en målestok, er afvigelsen fra den baseline, gennemgangen brugte, et nyt ønske, indtil I har aftalt den.
Fire kategorier
Spørgsmålene giver fire kategorier, som et fund kan placeres i.
Fejl inden for aftalen. Elementet drives af leverandøren, aftalen dækker det, og opsætningen afviger fra det aftalte. Fx en manglende sikkerhedsopdatering, hvor aftalen siger, at leverandøren opdaterer.
Uklart i aftalen. Elementet drives af leverandøren, men aftalen siger ikke noget om netop dette. Her er fundet en anledning til at præcisere aftalen.
Nyt ønske. Elementet drives af leverandøren, og opsætningen er som aftalt, men I ønsker en strammere opsætning. Det er ekstraarbejde eller en ændring af aftalen.
Jeres egen del. Elementet drives af jer, selv om det står hos leverandøren. Rettelsen er jeres.
Et tænkt eksempel
En gennemgang finder tre ting på hostede servere: manglende opdateringer fra de sidste to måneder, en revisionspolitik under baseline og en lokal administratorkonto, der tilhører en af jeres egne medarbejdere. Aftalen siger, at leverandøren opdaterer efter producentens anvisninger, men nævner ikke revision. Det første er en fejl inden for aftalen. Det andet er uklart og skal præciseres. Det tredje er jeres egen del.
Fund, der går igen
Nogle fund dukker op på flere af leverandørens systemer på samme måde. Det tyder på, at fejlen sidder i leverandørens standard og ikke i den enkelte server. Notér det i sorteringen, fordi rettelsen så bør ske i standarden. Ellers bliver de rettede servere rigtige, mens den næste, leverandøren sætter op, får samme fejl.
Når fundet sendes
Hvert fund sendes til leverandøren med kategorien, henvisningen til aftalens punkt og udtrækket fra rapporten. Bed om et skriftligt svar med plan og frist for fund inden for aftalen og om et tilbud eller en afklaring for de øvrige. Forordningens krav om at overvåge rapporter om serviceleveranceaftaler peger på, at status bør følges op i de faste møder med leverandøren.
Kontraktens side af sagen, med revisionsret, sikkerhedskrav og erklæringer, hører hjemme på sitet om leverandøraudit. Denne artikel handler om fundene.
Hvad det kræver, og hvad det koster at lade være
Sorteringen kræver aftalen ved hånden og en person, der kender både den og fundene. Det tager tid første gang, men det gør den næste forhandling om aftalen meget lettere.
Uden sortering bliver rapporten sendt til leverandøren i sin helhed, og svaret bliver ofte, at det meste ligger uden for aftalen. Så står fundene åbne, mens parterne diskuterer, og ingen af dem bliver rettet.
Det skal I lade være med
- At sende hele rapporten uden sortering · sortér fund for fund, med henvisning til aftalen.
- At antage, at ansvaret flytter med driften · I har stadig ansvaret for, at kravene er opfyldt.
- At kalde en afvigelse fra en ikke-aftalt baseline for en fejl · aftal målestokken først.
Det skal gennemgangen kunne vise
- ☐ For hvert fund hos leverandøren: hvem der driver elementet, og hvilket punkt i aftalen der gælder.
- ☐ En kategori for hvert fund med begrundelse.
- ☐ Leverandørens skriftlige svar med plan og frist for fund inden for aftalen.
- ☐ En liste over punkter i aftalen, der skal præciseres.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 5.1.4 og 5.1.7, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 11, stk. 2, litra k, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.6 og 3.10, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de fund, der vedrører leverandørens systemer, og skriv ud for hvert det punkt i aftalen, der gælder.
Læs også: Delt ansvar · Ny IT-leverandør
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
