Når et selskab eller en forretningsenhed er solgt fra, fortsætter sælger ofte med at drive en del af købers IT i en overgangsperiode. I den periode ejer køber risikoen, mens sælger ejer driften. Hvem der måler sikkerheden, og hvad hver part får indsigt i, skal stå i aftalen mellem dem. Står det der ikke, måler ingen.
Artiklen handler om tiden efter overdragelsen. Den bygger på aftaleforholdet mellem parterne og indeholder ingen lovpåstande om, hvad parterne skylder hinanden. Ingen af de regler, der er læst til artiklen, handler direkte om overgangsaftaler.
En periode, hvor alle har lidt ansvar
Overgangsperioden er en særlig tilstand. Køber har overtaget selskabet, men brugerne logger stadig ind i sælgers brugerkatalog, data ligger på sælgers servere, og sælgers driftsfolk patcher systemerne. Sælger vil gerne afslutte så hurtigt som muligt og har ingen langsigtet interesse i købers sikkerhed. Køber har interessen, men ikke styringen.
Samtidig er perioden udsat. Systemer skal adskilles, data skal flyttes, adgange skal ændres, og alt skal ske under tidspres. Det er netop i den slags forløb, at adgange bliver hængende, og at midlertidige løsninger bliver permanente. Begge parter har travlt med forretningen, og sikkerheden bliver let et punkt, som hver af dem tror, den anden tager sig af.
Begge parter har noget at måle
For sælger er det vigtigste, at det frasolgte selskab ikke længere har adgang til sælgers øvrige systemer, når perioden er slut, og at adgangen i perioden er begrænset til det aftalte. For køber er det vigtigste, at driften i perioden lever op til købers krav, og at overgangen til egen drift sker uden huller.
- Sælger · Det, der skal måles: At det frasolgte selskabs adgange er begrænset til det aftalte · Typisk bevis: Oversigt over konti, grupper og netværksadgange for selskabets brugere
- Sælger · Det, der skal måles: At adgangene lukkes, når perioden slutter · Typisk bevis: Bekræftelse og stikprøve efter lukning
- Køber · Det, der skal måles: At driften i perioden følger de aftalte sikkerhedskrav · Typisk bevis: Rapportering fra sælger, fx om opdateringer, hændelser og backup
- Køber · Det, der skal måles: At overgangen til egen drift ikke efterlader huller · Typisk bevis: Plan for adskillelse og kontrol efter flytning
Det, aftalen bør indeholde
Hvad der skal stå i aftalen, er praksis og afhænger af parterne. Følgende punkter giver et grundlag for måling:
- Sikkerhedskrav: (Hvilke kontroller sælger opretholder i perioden, fx opdateringer, backup og overvågning, på det niveau, der gjaldt før salget.)
- Rapportering: (Hvad sælger rapporterer til køber, og hvor ofte, fx en månedlig status.)
- Hændelser: (Hvordan og inden for hvilken frist sælger underretter køber om sikkerhedshændelser, der berører købers systemer eller data.)
- Indsigt: (Om køber kan anmode om dokumentation eller lade en uafhængig part efterprøve dele af driften.)
- Adskillelse: (Hvem gør hvad ved adskillelsen, og hvordan det bekræftes, at adgange og forbindelser er lukket.)
- Data: (Hvordan sælger sletter købers data efter overflytning, og hvordan sletningen bekræftes.)
Formuleringerne i parentes er tænkte eksempler. De skal tilpasses af dem, der forhandler aftalen.
Når køber er omfattet af NIS 2
Er køber selv NIS 2-omfattet, skal køber have passende foranstaltninger for sikkerheden i forsyningskæden (§ 6, stk. 1, nr. 4). Sælgers drift i overgangsperioden kan i den sammenhæng ses som en del af købers forsyningskæde. Det er en tolkning, som loven ikke selv udtrykker, og artiklen er ingen juridisk vurdering. Tolkningen betyder i praksis, at køber bør behandle sælger som en leverandør i perioden, med krav, rapportering og opfølgning.
Målingen i koncernens måleserie
For køberkoncernen er det frasolgte selskab nu et opkøbt selskab, og det skal ind i købers måling. Men i overgangsperioden er en del af kontrollerne udført af sælger. En første måling i perioden bør skelne mellem det, selskabet selv ejer, og det, sælger leverer. Det giver et rigtigt billede, når driften senere flyttes. Baselinen for et nyt selskab står i det opkøbte selskab i måleserien.
For sælgerkoncernen skal det frasolgte selskab ud af måleserien. Skriv i ændringsloggen, hvornår det skete, så et skift i koncerntallet kan forklares. Indtil adskillelsen er færdig, kan selskabets adgang til sælgers systemer stå som et særskilt punkt i sælgers egen måling.
Hvis perioden bliver forlænget
Overgangsperioder bliver ofte længere end planlagt. Adskillelsen af systemer tager tid, og køber er ikke klar til at overtage. En forlængelse er en god anledning til at se på sikkerhedskravene igen. Det, der var acceptabelt i tre måneder, er måske ikke acceptabelt i et år. Forlænges perioden, bør begge parter gennemgå adgangene og rapporteringen, før den nye periode begynder.
Når perioden slutter
Afslutningen er det mest sårbare tidspunkt. Adgange skal lukkes, forbindelser fjernes og data slettes. En kort, efterprøvet kontrol kort efter sidste driftsdag, hvor begge parter bekræfter, at adskillelsen er gennemført, mindsker risikoen for rester. Gøres det ikke, kan resultatet blive de samme rester, som gamle opkøb efterlader.
Hvad det kræver, og hvad det koster at lade være
Det kræver sikkerhedskrav, rapportering, hændelsesunderretning og en kontrolleret adskillelse i aftalen, en ansvarlig hos hver part og en plan for, hvordan det frasolgte selskab kommer ud af den ene måleserie og ind i den anden.
Uden det måler ingen sikkerheden i perioden. Sælger har ingen grund til at gøre mere end aftalt, køber har ingen indsigt, og efter perioden står begge med adgange og forbindelser, som ingen husker at lukke.
Det skal I lade være med
- At lade aftalen tie om sikkerhed i overgangsperioden · så måler ingen.
- At lukke perioden uden en kontrolleret adskillelse · resterne bliver liggende.
- At glemme selskabet i ændringsloggen · så kan skiftet i koncerntallet ikke forklares.
Det skal gennemgangen kunne vise
- ☐ Aftalens sikkerhedskrav, rapportering og hændelsesunderretning.
- ☐ Rapportering fra sælger i perioden.
- ☐ En bekræftet adskillelse af adgange, forbindelser og data.
- ☐ Ændringslogge hos begge parter, der viser, hvornår selskabet skiftede måleserie.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den seneste overgangsaftale i koncernen, og se, om den siger noget om sikkerhedskrav, hændelser og adskillelse.
Læs også: Outsourcing af driften: mål før og efter · Driften ligger ude
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
