Leverandørstyring i NIS2: sådan undgår du at blive ramt via tredjeparter

Annonce – sponsoreret indhold.

Du får ét tal, når NIS2 kommer på dagsordenen: prisen på compliance-pakken. Gap-analyse, leverandørregister, politikker, kontraktskabeloner. Et pænt, afgrænset beløb, som ledelsen kan forholde sig til på ét slide.

Det tal er ikke forkert. Det er bare ikke hele regningen. Den rigtige regning løber over hele kontraktperioden med dine leverandører – og den har en tvilling, som ingen viser dig: hvad det koster, hvis en af dine tredjeparter bliver ramt, mens du ikke havde styr på adgang, varsling og exit.

Vi har sat begge op, post for post, over 36 måneder. Det er den typiske løbetid på en kritisk SaaS- eller driftskontrakt, og det er også den periode, hvor et leverandørbrud statistisk set når at ramme dig.

Case: dansk virksomhed med 250 ansatte, ca. 250 mio. kr. i omsætning, omfattet som ”vigtig enhed”. 120 leverandører i alt, hvoraf 18 er kritiske eller vigtige. Vil du have et samlet fagligt opslagsværk om emnet, er denne side en relevant reference: NIS2 leverandørstyring. Herunder holder vi os til kroner og ører.

Hvorfor leverandøren er den dyre indgang

Hvis nogen vil ind i din virksomhed i 2026, er den besværlige måde at angribe dig direkte. Den smarte er at gå gennem en SaaS, en underleverandør, et plugin, en driftspartner eller en konsulent med for brede rettigheder. Gæt hvad der sker oftest.

Tredjepartsrisiko handler sjældent om, at leverandøren er ”dårlig”. Den handler om fire ting, der alle kan omsættes til kroner:

• Adgang: leverandører får ofte admin, API-nøgler eller delte konti. Prisen: hele dit miljø, ikke bare deres del.
• Afhængighed: går de ned, stopper du. Prisen: tabt dækningsbidrag pr. døgn.
• Data: kompromitteres de, kompromitteres dine data. Prisen: anmeldelse, tilsyn, sanktion.
• Manglende synlighed: du opdager det først, når skaden er sket. Prisen: længere nedetid og dyrere forensics.

NIS2 gør altså ikke leverandørstyring til en Excel-øvelse. Loven gør det til en post på driftsbudgettet. Spørgsmålet er kun, hvilket budget den lander på: det planlagte eller det uplanlagte.