Tredjepartsrisiko i praksis: Hvad skal I vurdere hos jeres leverandører?

I har sikkert godt styr på jeres egne systemer og processer. Men hvor godt kender I egentlig jeres leverandørers sikkerhed?

For de fleste compliance- og sikkerhedsansvarlige er svaret "ikke godt nok". Det er et problem. Leverandørkæden er ikke længere en teoretisk risiko — det er et akut regulatorisk fokusområde.

Leverandørkæden er blevet et lovkrav

Siden NIS 2-loven trådte i kraft i Danmark den 1. juli 2025, er kravene til forsyningskædesikkerhed blevet skærpet markant. Loven omfatter tusindvis af danske virksomheder og myndigheder, men effekten rækker langt videre.

Mange mindre virksomheder møder kravene i praksis, fordi deres kunder skal overholde loven. Når banker, kommuner eller energiselskaber skal dokumentere deres tredjepartsrisiko, sender de kravene videre til deres leverandører. Resultatet? Et stigende antal SMV'er modtager omfattende sikkerhedsspørgeskemaer fra store kunder — ofte uden at have en proces til at håndtere dem.

DNV’s nordiske undersøgelse af cyberrobusthed fra 2026 understreger, hvor tæt forbundet kritisk infrastruktur er blevet. Virksomheder er afhængige af komplekse netværk af leverandører, serviceudbydere og digitale systemer. Derfor kan en sikkerhedshændelse hos én aktør få konsekvenser gennem hele leverandørkæden.

Etabler en fast struktur

Gør leverandørvurderinger til en fast rutine i stedet for en akut brandøvelse.

→ Hent guiden til risikostyring baseret på ISO 27005

Start med prioritering — ikke total kortlægning

Den største fejl i tredjepartsrisikostyring er at ville vurdere alle leverandører lige grundigt fra dag ét. Det fører hurtigt til tunge regneark med hundredvis af rækker og meget lidt reel indsigt. Start i stedet med at identificere de leverandører, der udgør en reel risiko. Det gælder især leverandører, som:

• har direkte adgang til jeres netværk, systemer eller data
• understøtter forretningskritiske processer
• behandler personoplysninger på jeres vegne (databehandlere)
• leverer løsninger videre til jeres egne kunder

Når I har udpeget den kritiske gruppe, gennemfører I den grundige vurdering hér. Resten kan I nøjes med at screene i et lettere format. Det giver en holdbar proces, I reelt kan drive.

Fire konkrete områder, I skal vurdere

En leverandørvurdering handler ikke om at indsamle certifikater og sætte flueben. Både NIS2 og god praksis for informationssikkerhed peger på fire centrale områder:

1. Adgangsstyring: Hvordan styrer leverandøren adgangen til jeres data? Hvad er processen, når en medarbejder hos leverandøren stopper eller skifter rolle?
2. Hændelseshistorik: Har leverandøren haft sikkerhedsbrud, og hvordan håndterede de dem? En leverandør, der har kommunikeret professionelt og åbent om en hændelse, er ofte en mere sikker partner end én, der aldrig har rapporteret noget.
3. Kontraktuelle krav: Kontrakten skal indeholde konkrete tekniske minimumskrav, ret til audit og pligt til hurtig rapportering ved hændelser. En generel henvisning til "gældende lovgivning" er ikke nok.
4. Underleverandører: Risikoen forsvinder ikke, fordi den rykker et led længere ud i kæden. Spørg jeres kritiske leverandører, hvilke underleverandører de selv er afhængige af.

Gør vurderingen til en proces — ikke et projekt

En klassisk fælde er at behandle leverandørvurderinger som et engangsprojekt. Men risikobilledet ændrer sig løbende på grund af nye systemer, nye underleverandører eller nye trusler. En vurdering foretaget for et år siden siger intet om sikkerheden i dag.

Byg i stedet en fast cyklus ind i jeres risikostyring:

• Læg en fast kadence for genvurdering af kritiske leverandører
• Opsæt automatiske påmindelser, når kontrakter og databehandleraftaler skal fornyes
• Etabler en klar indsatsplan for hændelser hos jeres leverandører

Det er også her, at arvet risiko bliver afgørende. Jeres eget system kan fremstå som lavrisiko på papiret. Men hvis leverandøren bag systemet har en dårlig hændelseshistorik, arver I den risiko og skal reagere på den.

Sådan sikrer I dokumentationen til audit

Hvad enten I står over for en NIS2-audit, en ISO 27001-certificering eller et kontrolbesøg fra en stor kunde, lyder det afgørende spørgsmål altid: "Kan I dokumentere det?"

I skal kunne vise, hvornår vurderingen fandt sted, hvem der udførte den, begrundelsen og konklusionen. Hvis dokumentationen ligger spredt i e-mails, lokale drev og regneark, bliver auditforberedelsen en stressende omgang.

Saml leverandørrisiko i jeres overordnede risikobillede

Tredjepartsrisiko er ikke en isoleret ø. Det er en integreret del af jeres samlede risikostyring.

Når leverandørvurderinger føder direkte ind i jeres risikoscoring og compliance-arbejde, får I et retvisende overblik over virksomhedens reelle sårbarheder. Samtidig undgår I at genopfinde processen, hver gang I tager en ny leverandør ind.

Med NorthGRC samler I kontrakter, databehandleraftaler, spørgeskemaer og hændelseshistorik ét sted. I lader leverandørernes svar opdatere jeres samlede risikovurdering automatisk. Derved opfylder I NIS2-kravene til forsyningskædesikkerhed, mens revisionsklar dokumentation bliver en naturlig del af hverdagen.