IT-leverandøren sier at den forvalter plattformen. Programvareleverandøren sier at den drifter applikasjonen. Bedriften regner med at en av dem følger med på uvanlige tilganger og kan gjenopprette tjenesten. Hver avtale kan være korrekt, samtidig som selskapet har et hull ingen har ansvar for.
For et norsk styre er det nyttige spørsmålet om ledelsen kan vise hvordan viktige forretningstjenester beskyttes og gjenopprettes på tvers av disse grensene. Kjøp av IT-støtte besvarer ikke det alene. Selskapet trenger tilstrekkelig intern kompetanse og fullmakt til å beskrive behovet, vurdere dokumentasjonen og håndtere uavklart risiko.
Følg én leveranse gjennom avtalene
Ta en hypotetisk grossist som mottar ordrer på e-post, registrerer dem i et skybasert forretningssystem og sender dem videre til et lagerprogram. Én leverandør støtter ansattes enheter og identitetskontoer. En annen leverer forretningssystemet. En tredje integrasjon flytter ordrene.
Ikke begynn med en oversikt over sikkerhetsprodukter. Følg en ordre fra mottak til utsending. Hvilke kontoer, integrasjoner og opplysninger avhenger den av? Hvem kan oppdage en feil endring? Hvem kan stoppe integrasjonen? Hvem avgjør om utsendingen skal fortsette når ordreopplysningene ikke er til å stole på?
NSMs veiledning om tjenesteutsetting og skytjenester anbefaler kontroll gjennom livsløpet, god bestillerkompetanse, risikovurderinger og beslutninger på riktig nivå. Det er et grunnlag for ledelsens oppfølging, ikke et krav om at styret skal drive IT-avdelingen.
Skill mellom å utføre en oppgave og å eie en beslutning
For hver kritiske tjeneste bør ledelsen registrere den internt ansvarlige, leverandøren som utfører arbeidet, forventet dokumentasjon og veien videre når noe må løftes. Unngå å føre to parter som felles ansvarlige uten å si hvem som skal handle først.
Hos grossisten kan leverandøren fjerne en ansatts konto, mens bedriftens leder må gi beskjed raskt og bekrefte hvilke tilganger i forretningssystemet som også skal fjernes. En leverandør kan drifte sikkerhetskopier, mens bedriften må definere hvilke data og avbruddsgrenser som betyr noe. Fagfolkene kan anbefale gjenoppretting, mens driften må bekrefte at ordrene stemmer etterpå.
Undersøk overvåkingen på samme måte. Følger noen opp varsler utenfor normal arbeidstid? Hvilke systemer omfattes? Hvem kan godkjenne at noen griper inn raskt? At overvåking er tilgjengelig, er noe annet enn en avtalt og bemannet tjeneste for oppfølging.
Be om dokumentasjon der ansvaret skifter
Ved neste leverandørgjennomgang kan dere be om noen få demonstrasjoner knyttet til den konkrete tjenesten:
- En nylig avslutning eller endring av et arbeidsforhold som viser at relevante tilganger ble fjernet eller justert på tvers av systemene.
- En gjenopprettingstest som viser hva som ble gjenopprettet, hvor lang tid det tok, og hvilke avhengigheter som ikke var med.
- En hendelsesøvelse som viser hvem som mottok varselet, hvem som handlet, og hvem som informerte ledelsen.
- En oppdatert oversikt over uløste svakheter med forretningskonsekvenser, ansvarlige og datoer for beslutninger.
Dette er mine forslag til kontroller. Tilpass grundighet og hyppighet til hvor viktig tjenesten er. Andelen vellykkede sikkerhetskopier er nyttig driftsinformasjon, men dokumenterer ikke at hele ordreprosessen kan gjenopprettes. Be om dokumentasjon som kan avdekke et hull, fremfor bare å bekrefte at et produkt er installert.
Behold kontroll når den vanlige kontakten er borte
Bedriftens eierskap til domener, abonnementer og nødvendige opplysninger må være tydelig. Etabler kontrollert nødtilgang og en stedfortreder som kan bruke den avtalte fremgangsmåten. Det betyr ikke at administratorpassord skal deles bredt, eller at dere skal beholde en ubeskyttet reservekonto.
Avklar hva som skjer hvis leverandøren er utilgjengelig eller avtalen avsluttes: tilgang til logger, opplysninger om oppsettet, dataeksport, bistand og sikker overlevering. Test en praktisk del av ordningen. Les artikkelen om å bytte KI-leverandør når avhengigheten også omfatter modeller, instruksjoner og evaluering av oppgaver.
Når selskapet er behandlingsansvarlig for personopplysninger, forsvinner ikke pliktene ved at behandlingen settes ut. Personvernforordningen artikkel 24 og 28 omhandler ansvarlighet og databehandlerforholdet. Fastsett rollene ut fra den faktiske behandlingen og vurder relevante sikkerhets- og varslingsplikter. En supportavtale er ikke automatisk en tilstrekkelig databehandleravtale.
Gi styret en beslutning å ta stilling til
Ledelsen bør legge frem en kort oversikt over kritiske tjenester, dokumentasjon fra nylige tester, vesentlige mangler og foreslåtte tiltak. For grossisten kan det være et valg mellom å finansiere en testet manuell utsendelsesprosess og å godta et lengre avbrudd mens gjenopprettingsevnen forbedres.
Styret bør utfordre om den gjenværende risikoen er akseptabel for virksomheten, om ledelsen har ressurser til å håndtere den, og om kundeløftene fortsatt er troverdige. Ledelsen fordeler oppgaver og følger gjennomføringen. Verken et grønt statusbilde eller leverandørens forsikringer bør erstatte dokumentasjon på at tjenesten bedriften er avhengig av, fungerer. Bruk rapporten om cyberrisiko til styret til å gjøre funnene om til et tydelig beslutningsgrunnlag.
Begynn med én viktig leveranse og ett hull mellom leverandørene. Bruk øvelsen for cyberhendelser til å prøve ordningen under press, og guiden til kundedokumentasjon før leverandørpåstander blir til salgsløfter.
Kilder og avgrensning
Kildene ble kontrollert 12. oktober 2026. Grossisten og avtalegrensene er hypotetiske. Gjennomgangen er min anbefaling, med utgangspunkt i NSMs veiledning. Krav etter sikkerhetsloven og sektorregler må vurderes særskilt. De gjelder ikke likt for alle norske aksjeselskaper.