Mandag morgen kører jeres egne systemer, som de skal, overvågningen er grøn, og der er ingen sager i servicedesken. Alligevel kan tre af jeres kunder ikke få det, I har lovet dem, fordi en leverandør midt i leverancen har lukket ned for sine systemer. It-chefen opdaterer leverandørens statusside hvert kvarter, mens salg spørger, hvad de må skrive til kunderne. Imens står der ét spørgsmål tilbage, som ingen har fået tildelt: er det her vores hændelse?

Beredskabsplanen svarer ikke, for den begynder i jeres egne systemer, mens den hændelse, der stopper jeres leverance, sker i en andens. Scenariet er konstrueret og handler ikke om en bestemt leverandør.

En hændelse hos leverandøren bliver ikke jeres hændelse af sig selv. Jeres godkendte proces skal fastlægge, hvem der må beslutte og på hvilket grundlag. Hullet handler hverken om detektion eller værktøjer, men om beslutningsret.

Et dateret eksempel fra Dustin Group

Dustins offentliggjorte opdateringer fra 3. til 10. september 2026 viser det tidsrum, hvor beslutningen skal træffes. Dette daterede eksempel fastslår ikke hændelsens nuværende status.

Den 10. september oplyste Dustin, at den tekniske undersøgelse af de berørte interne og administrative systemer stadig var i gang. De citerede opdateringer fastslår ikke, hvad der skete efter 10. september 2026.

Jeg bedømmer ikke Dustins håndtering, og mere end det kan I heller ikke se udefra, når det er leverandøren og ikke jer selv, der er ramt. Det er i det tidsrum, nogen hos jer skal beslutte, om det også er jeres sag.

Spørgsmålet, ingen havde fået tildelt

Jeg har selv været i en lignende situation, dengang jeg ledte genopretningen efter et ransomwareangreb hos en producent med flere fabrikker. Der var det virksomhedens egne systemer, der var ramt, mens det tekniske arbejde var under kontrol. Genopretningen var i gang, og der var folk på opgaven, mens produktionen vidste, hvad den ventede på, og it vidste, hvad næste skridt var.

Det, der ikke havde en ejer, var noget andet, for salg havde kundeaftaler med klausuler om, hvornår kunden skulle orienteres. Spørgsmålet kom op næsten som en bemærkning: er det her sådan en sag, hvem beslutter det, og hvem skal så have besked? Der blev stille, da ingen af os havde fået den beslutning tildelt. Imens løb de frister, der stod i kundernes kontrakter, videre.

Det burde have været let, for sagen var vores egen, systemerne var vores egne, og der var ingen tvivl om, at det var en hændelse, men alligevel var beslutningsretten ikke placeret. Ligger hændelsen uden for jeres egne systemer, men inde i jeres leverance, bliver det samme spørgsmål endnu sværere. Der er ingen alarm og ingen logfil, der kan afgøre det for jer, og de beredskabsplaner, jeg har set, dækker det ikke, når leverandøren er nede.

Frister i kundekontrakter er ofte relevante

En hændelse hos en leverandør skaber ikke i sig selv en rapporteringspligt efter den danske NIS2-lov for en virksomhed, der ellers er uden for lovens anvendelsesområde. Er persondata hos leverandøren berørt, gælder databeskyttelsesreglerne særskilt. NIS2-loven, LOV nr 434 af 06/05/2025, lægger pligter på de virksomheder, den omfatter, og § 6 kræver, at de blandt andet håndterer sikkerhed i leverandørkæden.

Er I uden for den danske lovs anvendelsesområde, bliver kundens pligter ikke jeres alene, fordi I er leverandør. Er I selv omfattet, skaber § 15 en særskilt pligt til uden unødigt ophold at underrette modtagerne af jeres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen negativt, uafhængigt af kontrakten. En leverandør uden for lovens anvendelsesområde kan stadig møde krav om evidens eller underretning i en kundekontrakt. Hvordan det praktiske arbejde kan se ud hos en omfattet virksomhed, har jeg beskrevet her (på engelsk).

For en leverandør, der ellers er uden for lovens anvendelsesområde, vil den relevante frist for kundeunderretning ofte følge af kontrakten med forbehold for særskilte retlige pligter. Gennemgå de relevante kundekontrakter, find det, der udløser hver underretningsklausul, og notér den frist, den fastsætter.

Fremstiller I selv produkter med digitale elementer, kan særskilte rapporteringspligter efter CRA også gælde. Den vej har jeg gennemgået i en øvelse om CRA-rapportering. Vurdér den særskilt fra kundekontrakten.

En regel, der venter på leverandørens bekræftelse, udløses aldrig

Det første spørgsmål, når leverandøren er ramt, er, hvad der er sket, og det er et forkert grundlag for en regel. En regel, der siger, at I erklærer hændelsen, når I ved, hvad der er sket, udløses aldrig i tide. Den forudsætter en oplysning, som kun leverandøren kan give, og som leverandøren ofte selv venter på. At erklære en hændelse er ikke det samme som at konkludere, for det sætter kun jeres egen proces i gang, og den første besked til kunden kan sagtens være, at I endnu ikke kender omfanget.

Brug tærskler, I kan vurdere fra jeres egen side uden at vente på leverandørens endelige forklaring. Relevante signaler kan være et kundeløfte, der ikke længere kan holdes, usikkerhed om data eller adgang og tavshed fra leverandøren ud over en fastsat grænse. Afgør i den godkendte proces, om signalerne udløser en vurdering eller handling, med hensyn til kontrakter, retlige pligter og servicetolerancer.

I de daterede opdateringer, der citeres her, oplyste Dustin, at ordreflowet fungerede igen, mens den tekniske undersøgelse stadig var i gang. Det viser, at driftsgenopretning og afslutning af undersøgelsen kan følge forskellige tidslinjer.

Jeg har set mønsteret indefra i en større kapitalfondsejet koncern, hvor jeg tidligere var indlejet it-direktør. Signalet lå hos sikkerhed, og kundeløftet lå hos driftsdirektøren, men det var ikke aftalt, hvem der skulle træffe beslutningen. Derfor skal reglen navngive den beslutningsansvarlige.

Erklæringsreglen på én side: hvem må erklære leverandørens hændelse som jeres egen?

Det, der mangler, er en erklæringsregel, altså den nedskrevne regel for, hvem der må erklære en hændelse uden for jeres egne systemer, men inde i jeres leverance, som jeres egen hændelse, ved hvilken tærskel, og hvem der så skal have besked. Den fylder én side, og efter min erfaring kan den skrives på en halv time.

Brug jeres godkendte beslutningsmandat til at navngive, hvem der må erklære en hændelse hos leverandøren for jeres egen, og hvem der er stedfortræder. Den, der ejer kundeløftet, bør deltage sammen med sikkerhed, jura og kontraktansvarlige, når jeres proces kræver det. De bemyndigede beslutningstagere skal kunne handle på de foreliggende oplysninger uden at vente på leverandørens endelige forklaring. Fire ting skal stå på siden.

  1. Hvem må erklære hændelsen som jeres egen? Notér den bemyndigede rolle eller person og en stedfortræder i det godkendte beslutningsmandat. Den, der ejer kundeløftet, bør deltage sammen med sikkerhed, jura og kontraktansvarlige, når jeres proces kræver det. Beslutningstagerne skal kunne handle på de foreliggende oplysninger uden at vente på leverandørens endelige forklaring.
  2. Tærskler, I kan se fra jeres egen side. Fastlæg og afprøv operationelle tærskler i forhold til kundekontrakter, retlige pligter og servicetolerancer. Relevante signaler kan være driftsforstyrrelser ud over en aftalt tolerance, manglende bekræftelse af om data eller adgang er uberørt eller tavshed ud over en fastsat grænse. Fire arbejdstimer og to arbejdsdage kan bruges som forudsætninger i en øvelse. De er ikke standardfrister.
  3. Hvilke kunder får besked, og under hvilken klausul. Lav listen på forhånd ud fra kontraktregistret. Notér, hvad der udløser hver underretningsklausul, hvilken frist den fastsætter, og hvem der må sende beskeden. Notér, hvem der må beslutte tidlig kundeunderretning efter det godkendte beslutningsmandat og de relevante kontrakter. Den, der ejer kundeforholdet, bør bidrage, men er ikke automatisk den eneste beslutningstager.
  4. Den dokumentation, nogen beder om senere. Seks uger efter ringer en kundes sikkerhedsansvarlige eller revisor og beder om forløbet: hvornår vidste I det, hvem traf beslutningen, på hvilket grundlag, hvem underrettede I, og hvornår. Svaret er ét fælles notat med tidsstempler, ejet af den, der erklærede hændelsen. Det skriver I undervejs.

Siden er hele opgaven, og den indeholder ingen leverandørvurdering, ingen risikoscore og ingen prioriteret liste over jeres leverandører. Det kan være fornuftigt arbejde, men det hjælper jer ikke den mandag, hvor leverandøren er nede og kunden ringer. Selve leverandørgennemgangen er en anden opgave, og hvad en kunde forventer at se af leverandørdokumentation, har jeg skrevet om her (på engelsk).

Et klart mandat og afprøvede tærskler inden næste gang

Leverandørens driftsgenopretning afgør ikke, hvor længe I kan holde jeres egne kundeløfter, mens I venter. Når mandat og tærskler er skrevet ned på forhånd, kan den ansvarlige ejer gøre rede for, hvad der er kendt, hvad der fortsat er usikkert, og hvem der ejer den næste beslutning.

Den næste beslutning er at notere, hvem der må erklære en hændelse hos leverandøren for jeres egen, og hvilke synlige tærskler der udløser vurdering eller handling, også når leverandøren ikke siger noget. Afprøv reglen mod jeres kontrakter og særskilte retlige pligter før den næste hændelse.