Det, en leverandør driver for jer, kan gennemgås på samme måde som det, I driver selv, men vejen går gennem leverandøren. Afgræns gennemgangen til jeres eget miljø hos leverandøren, varsl den skriftligt, og bestil udtrækkene gennem kontraktens kontaktpunkt med en klar liste over, hvad der skal leveres.
Artiklen handler kun om læseadgang og udtræk i leverandørens drift af jeres miljø. Kundens kontrol af leverandøren som helhed, med kontrakt, erklæringer og tilsyn, er et større emne.
Hvorfor det er nødvendigt
I “Cyberforsvar der virker”, som Center for Cybersikkerhed udgav i 2023, og som i dag ligger hos SAMSIK, står der, at virksomheder, der har lagt meget af deres IT ud, må kontrollere, om leverandøren faktisk har indført de tekniske tiltag. Vejledningen anbefaler krav om løbende rapportering fra leverandøren.
En teknisk gennemgang er en måde at gennemføre den kontrol på. Rapporteringen viser, hvad leverandøren siger. Udtrækkene viser, hvad der er sat op.
Afgræns til jeres eget miljø
Leverandøren driver ofte meget mere end jeres systemer. Gennemgangen skal holde sig til det, der er jeres: jeres servere, jeres regelsæt, jeres lejer, jeres konti. Leverandørens fælles platform, som deles med andre kunder, er ikke jeres at gennemgå.
Ejes en del af nettet af en anden, kræver NIST’s vejledning fra 2008 som regel også ejerens skriftlige samtykke, og det gælder ifølge vejledningen også delte virtuelle platforme. Det er derfor almindelig praksis at skrive afgrænsningen ned sammen med leverandøren og få den bekræftet, før der trækkes noget.
Statens tekniske minimumskrav kan give et billede af grænsen. De binder kun statslige myndigheder, men vejledningen fra september 2025 siger, at kravene til logning og opdatering også gælder systemer, der driftes hos en ekstern leverandør, dog kun den infrastruktur, der indgår i leverancen af det konkrete system. Software som en tjeneste er ikke omfattet. Leverandørens egne adresser er ikke omfattet af statens krav om portscanning, men vejledningen anbefaler at kræve scanning i kontrakten.
Varsling
Varsl gennemgangen skriftligt. Det er almindelig praksis at skrive, hvad der skal gennemgås, hvilke udtræk der ønskes, hvem der gennemgår, og hvornår udtrækkene skal foreligge. Står der i kontrakten en frist for varsling eller en ret til at få udtræk, henvises til den.
Hvem bestiller
Bestillingen går gennem det kontaktpunkt, kontrakten udpeger, typisk fra IT-chefen eller den, der ejer leverandørforholdet hos jer. Den, der gennemgår, bestiller ikke selv. Det holder leverandørforholdet ét sted og gør det klart, at det er kunden, der beder om udtrækkene.
Det, leverandøren skal levere
Rækkerne er et forslag. Ret dem til efter det, leverandøren faktisk driver.
- Hostede servere · Systemliste, opdateringsstatus pr. server, lokale administratorer, åbne tjenester
- Firewall · Regelsættet for jeres miljø med tidsstempel og reglernes kommentarer
- Lejer · Administrative roller, flerfaktorstatus, politikker for betinget adgang, auditlogindstillinger
- Katalog · Konti, administrative grupper, servicekonti
- Backup · Job, opbevaring, seneste gendannelsestest for jeres data
- Leverandørens adgang · Hvilke af leverandørens folk og værktøjer der har adgang til jeres miljø, og hvordan
Bed om, at hvert udtræk leveres med dato og en beskrivelse af, hvordan det er trukket, så det kan bestilles igen på samme måde.
Samme dag, samme tilstand
Bed om, at udtrækkene trækkes inden for få dage af hinanden, og gerne samme dag som jeres egne. Udtræk fra forskellige uger kan ikke holdes op imod hinanden, fordi regler, konti og servere når at ændre sig imellem.
Bed også om, at der ikke ryddes op mellem varsling og udtræk. En leverandør, der retter fejl i ugen før, gør det i god mening, men så viser udtrækkene en tilstand, der kun fandtes i den uge. Rettelser er velkomne, men de skal komme efter gennemgangen og kunne måles.
Læseadgang, hvor det kan lade sig gøre
Nogle dele kan I læse selv. En lejer til kontorplatformen er ofte jeres, selv om leverandøren administrerer den, og så kan I give en læserolle til den, der gennemgår. Det sparer leverandøren for arbejde og giver et udtræk, der ikke er gået gennem flere hænder.
Som målestok kan også forordning 2024/2690 bruges, selv om den kun binder visse digitale tjenesteudbydere. Punkt 6.7.2, litra d, nævner kontrol med fjernadgang, herunder tjenesteudbyderes, og punkt 11.2.2, litra d, at tredjeparters rettigheder begrænses i omfang og varighed. Leverandørens egne adgange til jeres miljø hører derfor med i gennemgangen.
Er I en finansiel enhed under DORA, kræver artikel 10 i delegeret forordning 2024/1774, at I efterprøver, om tredjepartsudbydere håndterer sårbarheder.
Når leverandøren siger nej
Afviser leverandøren at levere, hører afvisningen med i rapporten som et fund. Det betyder, at I ikke kan kontrollere de tekniske tiltag, vejledningen beder om. Hvordan revisionsret og kontrolret skrives ind i kontrakten, er beskrevet under kontrolret i aftalen med IT-leverandøren. Hvordan leverandørstyring indgår i en audit efter NIS2, står under leverandører i en NIS2-audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig afgrænsning, en varsling og en liste over udtræk, bestilt gennem kontaktpunktet. Det kræver også, at nogen hos jer kan læse og kontrollere det, der kommer.
Uden kontrol hviler jeres viden om det udlagte miljø på leverandørens egne rapporter. Afvigelser i regelsæt, konti og opdateringer bliver ikke set af andre end dem, der har lavet dem.
Det skal I lade være med
- At lade den, der gennemgår, bestille direkte hos leverandøren · bestil gennem kontaktpunktet.
- At bede om at gennemgå leverandørens fælles platform · hold jer til jeres eget miljø.
- At glemme leverandørens egne adgange · de er en del af jeres opsætning.
Det skal gennemgangen kunne vise
- ☐ En skriftlig afgrænsning bekræftet af leverandøren.
- ☐ Varslingen og bestillingen med dato.
- ☐ Udtræk, hvor dato og fremgangsmåde fremgår.
- ☐ En liste over leverandørens adgange til jeres miljø.
Kilder
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, trin 2, læst 13. november 2026.
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.5, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2, 3.6, 3.9 og 3.10, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 6.7.2 og 11.2.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 10, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find kontraktens kontaktpunkt og eventuelle bestemmelser om kontrol, og skriv listen over udtræk, I vil bede om.
Læs også: Ny IT-leverandør · Overvågningsleverandørens dækning
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
