IT-leverandøren drifter plattformen. Programvareleverandøren holder forretningssystemet i gang. Bedriften regner med at en av dem oppdager mistenkelig aktivitet og får driften i gang igjen etter et avbrudd. Begge kan oppfylle avtalen sin, samtidig som viktige sikkerhetsoppgaver faller mellom to stoler.
Styret bør spørre om ledelsen kan vise hvordan virksomheten beskytter kritiske systemer og får driften i gang igjen når noe svikter, også når flere leverandører er involvert. En avtale om IT-støtte er ikke nok i seg selv. Noen i selskapet må ha kompetansen og fullmaktene som trengs for å stille krav, vurdere dokumentasjonen og følge opp risiko som ikke er håndtert.
Følg en kundeordre fra mottak til utsending
Tenk deg en hypotetisk norsk grossist som mottar ordrer på e-post, registrerer dem i et skybasert forretningssystem og overfører dem til et lagersystem. Én leverandør har ansvar for de ansattes datamaskiner og brukerkontoer. En annen leverer forretningssystemet. En egen integrasjon overfører ordrene til lagersystemet.
Ikke begynn med en oversikt over sikkerhetsprodukter. Følg en ordre fra mottak til utsending. Hvilke kontoer og integrasjoner må fungere, og hvilke opplysninger trenger dere for å behandle ordren? Hvem kan oppdage feilaktige endringer? Hvem kan stoppe integrasjonen? Hvem avgjør om utsendingen skal fortsette når ordreopplysningene ikke er til å stole på?
NSMs veiledning om tjenesteutsetting og skytjenester anbefaler kontroll gjennom livsløpet, god bestillerkompetanse, risikovurderinger og beslutninger på riktig nivå. Det er et grunnlag for ledelsens oppfølging, ikke et krav om at styret skal drive IT-avdelingen.
Avklar hvem som utfører oppgaven, og hvem som tar beslutningen
For hver kritiske tjeneste bør ledelsen dokumentere hvem som har ansvaret internt, hvilken leverandør som utfører arbeidet, og hvilken dokumentasjon leverandøren skal legge frem. Avklar også hvem som skal kontaktes når en sak krever en beslutning eller rask handling. Ikke gi to parter et felles ansvar uten å avklare hvem som skal handle først.
Hos grossisten kan leverandøren fjerne en ansatts konto, mens bedriftens leder må gi beskjed raskt og bekrefte hvilke tilganger i forretningssystemet som også skal fjernes. Leverandøren kan ta sikkerhetskopier, men bedriften må avgjøre hvilke data som må kunne gjenopprettes, og hvor lenge driften kan stå stille. IT-fagfolkene kan anbefale hvordan systemene skal gjenopprettes, mens de som behandler ordrene, må bekrefte at opplysningene stemmer etterpå.
Undersøk overvåkingen på samme måte. Følger noen opp varsler utenfor normal arbeidstid? Hvilke systemer omfattes? Hvem har fullmakt til å gripe inn når det haster? Det er ikke nok at systemet kan overvåkes. Dere må ha avtalt hvem som faktisk følger med og handler når et varsel kommer.
Sjekk at ansvaret henger sammen på tvers av leverandørene
På neste møte med leverandøren kan dere be om konkrete eksempler og testresultater for tjenesten dere kjøper:
- Dokumentasjon fra en nylig fratredelse eller et stillingsbytte som viser at relevante tilganger ble fjernet eller justert i alle berørte systemer.
- En gjenopprettingstest som viser hva som ble gjenopprettet, hvor lang tid det tok, og hvilke tilknyttede systemer og integrasjoner som ikke ble testet.
- En beredskapsøvelse som viser hvem som mottok varselet, hvem som handlet, og hvem som informerte ledelsen.
- En oppdatert oversikt over uløste svakheter med konsekvenser for virksomheten, hvem som har ansvar for oppfølgingen, og frister for å ta nødvendige beslutninger.
Dette er mine forslag til kontroller. Tilpass grundighet og hyppighet til hvor viktig tjenesten er. Andelen vellykkede sikkerhetskopier er nyttig driftsinformasjon, men dokumenterer ikke at hele ordreprosessen kan gjenopprettes. Be om dokumentasjon som kan avdekke mangler, fremfor bare å bekrefte at et produkt er installert.
Sørg for tilgang når kontaktpersonen er utilgjengelig
Avklar hvem som står som eier av bedriftens domener og abonnementer, og sørg for at bedriften har tilgang til nødvendig dokumentasjon. Avtal en sikker fremgangsmåte for nødtilgang, og utpek en stedfortreder som kan bruke den. Det betyr ikke at administratorpassord skal deles bredt, eller at dere skal beholde en ubeskyttet reservekonto.
Avklar hva som skjer hvis leverandøren er utilgjengelig eller avtalen avsluttes: tilgang til logger, opplysninger om oppsettet, dataeksport, bistand og sikker overlevering. Prøv ut en konkret del av denne ordningen. Les artikkelen om å bytte KI-leverandør når avhengigheten også omfatter modeller, instruksjoner og evaluering av oppgaver.
Når selskapet er behandlingsansvarlig for personopplysninger, forsvinner ikke pliktene ved at behandlingen settes ut. Personvernforordningen artikkel 24 og 28 omhandler ansvarlighet og databehandlerforholdet. Fastsett rollene ut fra den faktiske behandlingen og vurder relevante sikkerhets- og varslingsplikter. En avtale om brukerstøtte er ikke automatisk en tilstrekkelig databehandleravtale.
Legg frem konkrete valg for styret
Ledelsen bør legge frem en kort oversikt over kritiske tjenester, dokumentasjon fra nylige tester, vesentlige mangler og foreslåtte tiltak. For grossisten kan det være et valg mellom å finansiere og teste en rutine for manuell utsending av varer og å akseptere lengre driftsavbrudd mens selskapet forbedrer evnen til å gjenopprette systemene.
Styret bør vurdere om risikoen som gjenstår, er akseptabel for virksomheten. Det bør også spørre om ledelsen har ressursene som trengs, og om selskapet fortsatt kan oppfylle løftene til kundene. Ledelsen fordeler oppgavene og følger opp gjennomføringen. Verken et grønt statusbilde eller leverandørens forsikringer bør erstatte dokumentasjon på at tjenesten bedriften er avhengig av, fungerer. Bruk rapporten om cyberrisiko til styret til å gjøre funnene om til et tydelig beslutningsgrunnlag.
Begynn med én viktig leveranse og én oppgave der ansvaret mellom leverandørene er uklart. Bruk øvelsen for cyberhendelser til å teste ansvarsdelingen under press, og artikkelen om å dokumentere sikkerheten overfor kunder før dere lover kundene noe på grunnlag av leverandørens forsikringer.
Kilder og avgrensning
Kildene ble kontrollert 12. oktober 2026. Grossisten og ansvarsdelingen mellom leverandørene er hypotetiske. Gjennomgangen er min anbefaling, med utgangspunkt i NSMs veiledning. Krav etter sikkerhetsloven og sektorregler må vurderes særskilt. De gjelder ikke likt for alle norske aksjeselskaper.