Hvorfor stiller vores kunder pludselig sikkerhedskrav?
NIS2-loven trådte i kraft 1. juli 2025 og omfatter omkring 6.000 danske organisationer, som skulle registrere sig senest 1. oktober 2025 — og tilsynet er begyndt i 2026. Et af lovens kerneområder er forsyningskædesikkerhed: Omfattede virksomheder skal vurdere og håndtere risici hos deres leverandører og tjenesteudbydere.
Det betyder, at jeres kundes compliance-afdeling nu skal kunne dokumentere, at I ikke er det svage led. Den dokumentation kan de kun få ét sted fra: jer.
Hvilke krav møder leverandører typisk?
Kravene varierer, men mønstret er genkendeligt:
- Tekniske minimumsforanstaltninger: MFA, opdateringspolitik, kryptering, adgangsstyring, logning og mailsikkerhed (SPF, DKIM, DMARC).
- Dokumentation: Sikkerhedspolitik, risikovurdering, beredskabsplan — ofte i form af et leverandørspørgeskema.
- Hændelsesrapportering: Pligt til at underrette kunden hurtigt ved sikkerhedshændelser, der kan påvirke leverancen — fordi kunden selv har frister på 24 og 72 timer over for myndighederne.
- Audit-adgang: Ret til at efterprøve jeres sikkerhed, fx via spørgeskema, dokumentation eller tredjepartserklæring.
Skal vi acceptere alle krav, som de står?
Nej — og det forventes I heller ikke at gøre ukritisk. Myndighedernes egen vejledning lægger op til en risikobaseret og proportional tilgang: Kravene til jer bør stå i forhold til, hvor kritisk jeres leverance er for kundens drift og sikkerhed.
Leverer I kantinedrift, er fuld ISO 27001-certificering ikke proportional. Driver I kundens IT-infrastruktur, er skrappe krav rimelige. Det giver jer et sagligt forhandlingsrum: Svar på kravene med udgangspunkt i jeres faktiske rolle i kundens risikobillede — og foreslå alternativer, hvor kravene skyder over målet.
Hvordan kommer I fornuftigt i gang?
En pragmatisk rækkefølge: Få styr på de basale tekniske foranstaltninger først (MFA, opdateringer, backup, mailsikkerhed) — det er dem, der optræder i stort set alle spørgeskemaer. Saml derefter jeres dokumentation ét sted, så I kan besvare leverandørspørgeskemaer på timer i stedet for uger. Og overvej at vende det til en fordel: Leverandører, der kan svare hurtigt og dokumenteret, vinder udbud over dem, der ikke kan.