Når en leverandør udfører kontrollen, er det stadig enheden, der ejer risikoen, og derfor er det enheden, der får scoren. Scoren bør afspejle to ting: hvor godt kontrollen udføres, og hvor godt enheden styrer og følger leverandørens arbejde.
Reglen nedenfor er sitets forslag. Der findes ingen fælles regel for, hvordan outsourcede kontroller tæller i en modenhedsscore.
Hvad rammerne siger
Ifølge C2M2 version 2.1 kan en vurdering også dække aktiver, processer og ressourcer, som en anden part står for, for eksempel i skyen. Modellen har desuden et selvstændigt domæne for tredjepartsrisiko. Leverandørstyringen er altså en del af målingen og ikke noget, der falder uden for.
NIST CSF 2.0 har kategorien GV.SC om risiko i forsyningskæden under Govern og underkategorien GV.RM-05 om kommunikation om cyberrisiko, også med leverandører og tredjeparter. Rammen placerer dermed ansvaret for leverandørerne hos organisationens egen ledelse.
Tre fejl, der går igen
Den første fejl er at give enheden fuld score, fordi kontrollen er “lagt ud”. Kontrakten siger, at leverandøren tager backup, og derfor regnes området som løst. Ingen har set, om backuppen kan genskabes.
Den anden fejl er at give nul, fordi enheden ikke selv udfører kontrollen. Så straffes de enheder, der har valgt at bruge en specialiseret leverandør, selv om de styrer den godt.
Den tredje fejl er at lade området falde ud af målingen. Så forsvinder en stor del af driften fra koncerntallet, og bestyrelsen ser et billede af det, der er tilbage.
Et forslag til en regel
Scor hver outsourcet kontrol på to led, og lad det svageste led bestemme.
Udførelsen. Hvor godt udføres kontrollen hos leverandøren? Beviset kan være erklæringer, rapporter, data fra driften eller egen kontrol.
Styringen. Hvor godt styrer enheden leverandøren? Er kravene skrevet ind i aftalen, følger enheden op, bliver afvigelser håndteret, og ved enheden, hvad den selv skal gøre, for eksempel give adgange eller godkende ændringer?
Enhedens score for kontrollen bliver den laveste af de to. Begrundelsen er, at en god udførelse uden styring er skrøbelig, og at god styring ikke hjælper, hvis udførelsen svigter.
Et tænkt eksempel
- Backup af servere · Udførelse hos leverandøren: Højt: daglig backup, genskabelse testet · Enhedens styring: Lavt: ingen opfølgning på rapporterne · Score for enheden: Lavt
- Overvågning · Udførelse hos leverandøren: Mellem · Enhedens styring: Højt: mål, rapporter og møder · Score for enheden: Mellem
- Opdatering af klienter · Udførelse hos leverandøren: Højt · Enhedens styring: Højt · Score for enheden: Højt
Eksemplet viser, at enheden med den bedste leverandør ikke automatisk får den bedste score. Det er styringen, der skiller dem ad.
Komplementære kontroller hos enheden
De fleste outsourcede ydelser forudsætter, at kunden selv gør noget. Enheden skal fjerne brugere, når folk stopper, godkende ændringer og melde hændelser. Det er praksis at score disse kontroller som enhedens egne, fordi de udføres af enhedens egne folk. Hvordan kunden læser leverandørens erklæringer og de kontroller, kunden selv skal udføre, er beskrevet under kontrollen af leverandøren.
Fælles leverandør i koncernen
Når hele koncernen bruger samme leverandør, kan udførelsen vurderes én gang centralt og bruges i alle enheder. Styringen kan derimod være forskellig. Hvis aftalen styres centralt, scores styringen hos den centrale funktion. Hvis enhederne selv har kontakten, scores den i hver enhed. Det er praksis at skrive det ned, så det er klart, hvem der ejer hvilket led.
Hvordan en audit af det almene samspil med leverandører gennemføres, hører under den almene auditmetode, og leverandørens tekniske opsætning hører under de tekniske kontrolpunkter. Her handler det kun om, hvem der får scoren.
Når beviset fra leverandøren mangler
Det er almindeligt, at enheden ikke har adgang til det bevis, der skal til for at vurdere udførelsen. Leverandøren sender måske kun en kort månedsrapport, og aftalen giver ikke ret til mere. Allerede dét siger noget om styringen.
En mulig regel er, at udførelsen scores lavt, når beviset mangler, indtil enheden har fået det. Reglen kan virke hård, men den skaber et klart incitament til at skrive krav om rapportering og adgang ind i aftalerne ved næste fornyelse. Den viser også bestyrelsen, hvor meget af koncernens drift der hviler på tillid frem for viden.
Hvis flere enheder bruger samme leverandør, kan koncernen med fordel skaffe beviset én gang og dele det. Det sparer tid i enhederne og giver et ensartet grundlag for scoren.
Reglen bør stå i målingens faste regler og gælde fra første måling. Indføres den midt i en måleserie, vil enheder med meget outsourcing pludselig falde i score, og forklaringen skal stå tydeligt i rapporten.
Hvad det kræver, og hvad det koster at lade være
Det kræver en oversigt over, hvilke kontroller der er lagt ud til hvem, en regel for, hvordan de scores, og bevis for både udførelse og styring. Det kræver også, at reglen er den samme i alle enheder.
Uden en regel bliver outsourcede områder scoret tilfældigt. Nogle enheder får for høj score, fordi de har en god kontrakt. Andre falder ud af målingen. Bestyrelsen ser et koncerntal, der ikke viser, hvor afhængig koncernen er af leverandører, den ikke følger.
Det skal I lade være med
- At give fuld score, fordi kontrollen er lagt ud · risikoen bliver hos enheden.
- At lade outsourcede områder falde ud af målingen · så mangler en stor del af driften.
- At glemme enhedens egne kontroller i samspillet · de udføres af jeres egne folk.
Det skal gennemgangen kunne vise
- ☐ En oversigt over kontroller, der udføres af leverandører, og hvem der ejer styringen.
- ☐ Den regel, outsourcede kontroller scores efter.
- ☐ Bevis for både leverandørens udførelse og enhedens styring.
- ☐ De kontroller, enheden selv skal udføre i samspillet, scoret som enhedens egne.
Kilder
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 3.2.1, domænet THIRD-PARTIES, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), bilag A (GV.SC og GV.RM-05), læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en oversigt over de kontroller, leverandørerne udfører, og hvem der ejer styringen af hver.
Læs også: Outsourcing af driften · Leverandørlandskabet i koncernen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
