Fundet om leverandørlandskabet betyder, at koncernen ikke kan svare på, hvilke IT-leverandører den samlet er afhængig af, hvilke selskaber der bruger hvilke, og hvor den samme leverandør bærer kritiske funktioner i flere selskaber på én gang. Hvert selskab kender sine egne kontrakter, men ingen har lagt dem sammen. Fundet handler om koncernens interne styring af overblikket, ikke om kontrollen af den enkelte leverandør.
Det er sitets vurdering, at fundet er særlig almindeligt i koncerner, der er vokset ved opkøb, og hvor hvert selskab har beholdt sine egne indkøbsvaner.
Sådan ser fundet ud
Fundet viser sig, når en vurdering beder om en oversigt over leverandører, og hvert selskab sender sin egen liste i sit eget format. Nogle lister rummer kun kontrakter over en vis størrelse. Andre rummer alle fakturaer. Få skelner mellem leverandører, der leverer kritiske tjenester, og dem, der leverer kontorartikler.
Når listerne lægges sammen, kommer der typisk tre ting frem. Den samme leverandør optræder under forskellige navne. En leverandør, som ingen har udpeget som kritisk, bærer drift for flere selskaber. Og nogle tjenester, især dem, der er købt direkte af forretningen, står slet ikke på nogen liste.
Hvorfor koncernen har brug for overblikket
Afhængighed af én leverandør i flere selskaber er en koncernrisiko, som intet enkelt selskab kan se. Går leverandøren ned, eller kompromitteres den, rammer det flere selskaber samtidig, og koncernens beredskab skal kunne håndtere det. Uden overblik ved ingen, hvor mange selskaber der er berørt, før hændelsen er i gang.
Blandt de adspurgte i ENISA’s NIS Investments 2025 er kompromittering af forsyningskæden og tredjeparter den næsthyppigst nævnte bekymring (47 procent), og forsyningskæderisiko er blandt de største udfordringer ved NIS2.
Hvad regler og målestokke siger
Forsyningskædesikkerhed er punkt 4 i den liste over minimumsforanstaltninger, NIS 2-lovens § 6, stk. 1, opstiller. Forordning 2024/2690 beder i bilagets punkt 5.1 om en politik for forsyningskædesikkerhed, hvor kriterierne for at vælge leverandører og indgå kontrakter med dem står beskrevet. Forordningen er kun bindende for en række digitale tjenesteudbydere og er en målestok for andre.
Det tydeligste eksempel på et koncernkrav om samlet overblik findes i DORA, forordning 2022/2554. Artikel 28, stk. 3, kræver, at finansielle enheder fører et register over samtlige aftaler om IKT-ydelser fra eksterne udbydere, både på enhedsniveau og på delkonsolideret og konsolideret niveau. Kravet gælder kun finansielle enheder. Men det viser, hvordan en lovgiver har tænkt et overblik, der skal kunne ses både pr. selskab og samlet.
Sådan bygges overblikket internt
Det er praksis at bygge et fælles register med de samme felter for alle selskaber. Felterne kan fx være leverandør, tjeneste, hvilke selskaber der bruger den, hvilke forretningsprocesser den understøtter, om den er kritisk, kontraktens udløb og en intern ejer. Registret behøver ikke begynde komplet. Det er bedre at starte med de kritiske tjenester i alle selskaber end med alle tjenester i ét.
Det er også praksis at give registret én ejer på koncernniveau og lade selskaberne melde ændringer ind. Uden en ejer bliver registret et øjebliksbillede, der er forældet ved næste vurdering.
- Leverandør · (Driftsleverandør A)
- Tjeneste · (Drift af servere og backup)
- Selskaber · (Tre datterselskaber og den fælles servicefunktion)
- Forretningsproces · (Ordre til levering)
- Kritisk · (Ja)
- Kontraktudløb · (Kendt dato)
- Intern ejer · (IT-chef i det største selskab)
Overblik er ikke kontrol
Overblikket er en forudsætning for at kunne kontrollere de vigtigste leverandører, men det er ikke selve kontrollen. Hvordan den enkelte leverandør vurderes, hvilke erklæringer der skal læses, og hvordan revisionsretten bruges, er beskrevet under kontrol af leverandører. Denne artikel ser på, om koncernen overhovedet ved, hvem den skal kontrollere.
Et tænkt eksempel
Tænk jer en koncern, hvor fire selskaber hver især har købt backup som tjeneste. Tre af dem har uden at vide det valgt den samme leverandør under tre forskellige produktnavne. Ingen har registreret tjenesten som kritisk, fordi hvert selskab ser den som en lille kontrakt. Først når listerne lægges sammen, bliver det synligt, at én leverandør bærer genetableringen for tre selskaber, og at en hændelse hos den vil ramme dem alle på én gang. Eksemplet er tænkt.
Fundet og scoren
I en modenhedsmåling scorer selskaberne ofte leverandørstyring ud fra deres egne kontrakter. Et selskab med gode kontrakter får en høj score. Fundet om overblikket ligger på koncernniveau og bliver ikke synligt, hvis scoren kun beregnes pr. selskab. Det er sitets vurdering, at leverandøroverblikket bør scores særskilt for koncernen, så manglen bliver synlig i rapporten.
Hvad det kræver, og hvad det koster at lade være
Det kræver et fælles register, en ejer på koncernniveau og en aftale med selskaberne om, hvad der skal meldes ind. Det første år går tiden med at samle og rense listerne. Derefter er det vedligeholdelse.
Uden overblik kan koncernen ikke se sine samlede afhængigheder, ikke prioritere, hvilke leverandører der skal kontrolleres, og ikke vurdere, hvor mange selskaber en hændelse hos en leverandør rammer.
Det skal I lade være med
- At lade hvert selskab føre sin egen liste i sit eget format · så kan listerne ikke lægges sammen.
- At begynde med alle tjenester i ét selskab · start med de kritiske i alle.
- At forveksle overblik med kontrol · registret siger, hvem der skal kontrolleres.
Det skal gennemgangen kunne vise
- ☐ Et fælles leverandørregister med ens felter for alle selskaber.
- ☐ En ejer af registret på koncernniveau.
- ☐ En markering af tjenester, der bruges af flere selskaber.
- ☐ En udpegning af kritiske tjenester knyttet til forretningsprocesser.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 3, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 5.1, læst 14. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 4, læst 14. november 2026.
- ENISA, 2025 NIS Investments, main report, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed hvert selskab om dets fem mest kritiske IT-tjenester, og læg listerne sammen for at se, hvilke leverandører går igen.
Læs også: Fælles tjenester og shared service · Beredskabsplaner pr. enhed, der ikke hænger sammen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
