Når en ny IT-leverandør overtager driften, bør opsætningen fastholdes i udtræk, før overtagelsen sker. Udtrækkene bliver et nulpunkt, som både I og den nye leverandør kan pege på, når der senere opstår spørgsmål om, hvem der lavede hvad.
Ingen regel beskriver et nulpunkt ved leverandørskifte. Det er praksis. Men det bygger på en tanke, der går igen i kilderne: Gemte resultater gør det muligt at sammenligne over tid.
Hvorfor et nulpunkt
En ny leverandør arver alt, hvad den forrige har sat op, også fejlene. Uden et udgangspunkt er det svært at skelne, hvad der var der i forvejen, og hvad der er kommet til. Når en åben regel eller en glemt administratorkonto dukker op et halvt år senere, bliver spørgsmålet om ansvar hurtigt et spørgsmål om hukommelse.
Gemte resultater giver efter NIST’s SP 800-115 fra 2008 et revisionsspor og gør det muligt at sammenligne historisk. Bilaget til gennemførelsesforordning (EU) 2024/2690, der kun binder en række digitale tjenesteudbydere, kan bruges som målestok med punkt 12.4.1 og 12.4.3 om en ajourført fortegnelse over aktiver med sporbare ændringer og dokumenteret historik. Et nulpunkt ved overdragelsen er et sådant historisk punkt.
Hvad udtrækkene skal dække
Udtrækkene er de samme, som en teknisk gennemgang bygger på. Listen er tænkt som udgangspunkt.
- Identitet · Alle konti med status og sidste login, administrative grupper, servicekonti, roller i lejeren
- Net · Firewallens regelsæt, konfiguration fra kantudstyr og centrale switche, VPN-profiler
- Servere og klienter · Systemliste, opdateringsstatus, politikrapporter fra styringsværktøjet
- Lejer · Konfigurationseksport af de vigtigste indstillinger, administrative roller, ekstern deling
- Backup · Job, mål, opbevaring, seneste gendannelsestest
- Logning · Logkilder og opbevaringstid
- Adgange · Den afgående leverandørs konti, fjernadgang og værktøjer
Hvert udtræk dateres og beskrives med kommando eller sti, så det kan trækkes igen på samme måde.
Træk dem før overtagelsen
Udtrækkene skal trækkes, mens den afgående leverandør stadig har ansvaret. Trækkes de efter, er det den nye, der står inde for dem, og så er de ikke længere et neutralt udgangspunkt.
Det er almindelig praksis at lade den afgående leverandør trække udtrækkene, fordi den har adgangen, og at lade driften hos jer kontrollere, at de er fuldstændige. Mangler noget, skal det bestilles, før kontrakten udløber. Efter udløbet er det usikkert, om den afgående leverandør stadig har adgang til at trække noget som helst.
Opbevar dem hos jer
Nulpunktet skal ligge hos jer. Ligger det kun hos en af leverandørerne, kan det forsvinde med kontrakten. Gem udtrækkene samlet med dato og en kort beskrivelse af, hvad de dækker. En kontrolsum af filerne gør det muligt at vise, at de ikke er ændret siden.
Udtrækkene er følsomme. De beskriver hele miljøet og dets svagheder. Opbevar dem med begrænset adgang, sådan som NIST beskriver for data fra en vurdering.
Skriv de kendte afvigelser ned
Mange afvigelser kender I allerede: en server uden support, en regel, ingen kan forklare, en konto, der deles. Skriv dem ned som en del af nulpunktet. Så er de kendt af begge leverandører fra første dag, og den nye leverandør kan ikke senere blive beskyldt for dem, eller selv pege på dem som undskyldning for noget nyt.
En teknisk gennemgang ved overdragelsen kan gøre listen fuldstændig. Den behøver ikke at være omfattende. Den skal fastholde tilstanden og pege på de afvigelser, der skal med i den nye leverandørs første plan.
Den afgående leverandørs adgange
Overdragelsen er også det tidspunkt, hvor den afgående leverandørs adgange skal lukkes. Det gælder personlige konti, servicekonti, fjernsupportværktøjer, VPN-profiler og adresser på tilladte lister i firewallen. Forordningens bilag giver også her en målestok i punkt 11.2.2, litra d, hvor tredjeparters adgang skal holdes snæver og kortvarig.
Udtrækket fra nulpunktet viser, hvilke adgange der fandtes. Et udtræk en uge efter overdragelsen viser, at de er lukket.
Sammenlign, når den nye har sat sig
Nulpunktet får først sin fulde værdi, når det bruges. Det er almindelig praksis at trække de samme udtræk igen, når den nye leverandør har haft driften et stykke tid og har lavet sine første ændringer. Forskellen mellem de to sæt viser, hvad der er ændret, og hvad der er blevet stående.
Sammenligningen er også et godt grundlag for det første driftsmøde. I stedet for at tale om indtryk kan I tale om konkrete regler, konti og indstillinger. Står en kendt afvigelse fra nulpunktet stadig uændret, er det et naturligt spørgsmål, hvornår den bliver rettet, og af hvem.
Aftalen med den nye leverandør
Nulpunktet er mest værd, hvis den nye leverandør har set det og anerkender det som udgangspunkt. Hvordan det skrives ind i kontrakten, og hvordan kunden kontrollerer leverandøren bagefter, er beskrevet under kundens kontrol af IT-leverandøren. Den tekniske del her slutter med, at udtrækkene findes, er dateret og ligger hos jer.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at overdragelsesplanen har et punkt om udtræk før overtagelsen, at den afgående leverandør er forpligtet til at levere dem, og at nogen hos jer kontrollerer dem.
Uden nulpunkt bliver hver fejl, der dukker op det første år, et spørgsmål om, hvem der lavede den. Svaret afgør ofte, hvem der skal betale rettelsen, og uden udtræk kan ingen bevise det.
Det skal I lade være med
- At lade nulpunktet ligge hos en af leverandørerne · det skal ligge hos jer.
- At trække udtrækkene efter overtagelsen · så er de ikke længere neutrale.
- At glemme den afgående leverandørs fjernadgang · den lever ofte længst.
Det skal gennemgangen kunne vise
- ☐ Daterede udtræk fra før overtagelsen med beskrivelse af, hvordan de er trukket.
- ☐ En liste over kendte afvigelser ved overdragelsen.
- ☐ Udtræk, der viser, at den afgående leverandørs adgange er lukket.
- ☐ At den nye leverandør har modtaget nulpunktet.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 7.4, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 11.2.2 og 12.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv udtrækkene ind i overdragelsesplanen med en dato før overtagelsen og en ansvarlig hos den afgående leverandør.
Læs også: Fjernsupportværktøjer og leverandørers adgang · Opfølgende gennemgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
