Compliance ved stedfortræder skalerer ikke

Cyberbeveiligingswet trådte i kraft den 15. august 2026 og formaliserede nye forpligtelser for cirka 8.000 organisationer i Holland (Rijksoverheid, 2026). Det tog rådgivningsmarkedet måneder at forberede sig på denne dato, og næsten hele denne forberedelse gik til én gruppe: de væsentlige og vigtige enheder, der nu er direkte forpligtede under den nye lov. Konsulenter har været fuldt booket med at hjælpe disse organisationer med at kortlægge deres duty-of-care-foranstaltninger, registrere sig hos NCSC og få styr på deres governance.

Antag konservativt, at hver af disse 8.000 organisationer er afhængig af mindst tyve leverandører, og antallet af virksomheder, der nu står over for et compliance-spørgsmål på grund af denne lov, uden selv at være direkte reguleret, løber allerede komfortabelt op over 100.000.

NFIR bemærkede noget andet, mens de udførte netop det rådgivningsarbejde. Siddende midt i disse samtaler dukkede den samme kløft op gang på gang: den forpligtede organisation selv var som regel i rimelig form, ofte allerede ISO 27001-certificeret eller godt på vej, men dens leverandører var det ikke. Disse leverandører havde intet certifikat at pege på, ingen fælles måde at demonstrere deres sikkerhedsposition på og ingen idé om, hvordan de skulle besvare det compliance-spørgsmål, der var ved at lande i deres indbakke fra flere kunder på én gang.

Bizway så det samme problem fra den anden side. Som leverandør selv var Bizway allerede begyndt at bemærke en stigning i netop denne slags forespørgsler: kunder, der spurgte, nogle gange formelt og nogle gange som en eftertanke i en account-gennemgang, hvordan Bizway kunne demonstrere, at virksomheden opfyldte NIS2-relaterede forventninger. To organisationer, to udsigtspunkter, den samme observation: presset fra denne lov ville aldrig forblive indeholdt i de 8.000 direkte regulerede virksomheder. Det ville altid lande et lag længere nede, hos de mennesker, der leverer til dem.

Hvorfor beder din kunde dig pludselig om en compliance-erklæring?

Dette er ikke et tilfælde, og det er ikke overivrig account management. Artikel 21 i NIS2-direktivet kræver, at væsentlige og vigtige enheder styrer sikkerheden i deres forsyningskæde, herunder de sikkerhedsrelaterede aspekter af deres relationer til direkte leverandører (ENISA, 2023). I praksis kan denne forpligtelse ikke forblive inde i den regulerede organisation. Den skal føres nedad, ind i kontrakter, onboarding-tjeklister og, mest synligt, ind i et compliance-spørgsmål rettet til hver leverandør, organisationen er afhængig af.

ENISA’s egen analyse af cybersikkerhed i forsyningskæden, udgivet i 2023 og stadig den mest citerede EU-reference om denne mekanisme, fandt, at kompromitteringer af forsyningskæden var vokset fra under 1 procent af indtrængen i 2020 til 17 procent i 2021. I 66 procent af de hændelser, den undersøgte, vidste den berørte leverandør ikke, hvordan den var blevet kompromitteret, eller kunne ikke forklare det transparent til den kunde, der var afhængig af den. Det er netop den kløft, Cyberbeveiligingswet er designet til at lukke, og netop derfor har en reguleret organisation nu al mulig grund til at bede sine leverandører om at vise deres arbejde frem for at tage det på tro.

Er et certifikat ikke det oplagte svar?

Det pæne svar ville være, at hver leverandør bliver ISO 27001-certificeret og lægger sagen bag sig. For en håndfuld større leverandører er det en fornuftig vej, og nogle er allerede i gang med det. For de fleste er det ikke realistisk, og det er formentlig heller ikke nødvendigt. Et certifikat er dyrt, tager måneder at opnå og er bygget til organisationer af en vis størrelse og modenhed. Masser af leverandører, der ikke udgør nogen meningsfuld risiko for deres kunders NIS2-compliance, bliver implicit bedt om at opføre sig, som om de gjorde.

Hvad disse leverandører faktisk har brug for, er ikke et certifikat. Det er en troværdig, evidensbaseret måde at besvare det spørgsmål, de bliver stillet, understøttet af noget mere solidt end en betryggende e-mail.

Hvad sker der, når en leverandør får stillet det samme spørgsmål halvtreds gange?

Her forstærkes problemet. En leverandør har sjældent én kunde, der stiller dette spørgsmål; den har flere, hver med en lidt anderledes formular, en anden deadline og et andet sæt forventede svar. ISACAs brancheanalyse fra maj 2026 beskriver dette direkte som et skift fra spørgeskematræthed til behovet for kontekstuel, evidensbaseret assurance og bemærker, at den gamle model med ad hoc-spørgeskemaer, én ad gangen, simpelthen ikke skalerer, når hver kunde begynder at spørge uafhængigt (ISACA, 2026). Gang det med antallet af kunder, en mellemstor leverandør betjener, og leverandøren ender med at bruge mere tid på at udfylde formularer end på faktisk at forbedre sin sikkerhed.

Det er ikke en fiasko i nogen enkelt leverandørs omhu. Det er en strukturel fiasko i en model bygget til lejlighedsvise spørgsmål, som nu bliver stillet løbende og samtidigt af alle på én gang.

Ville et skræddersyet spørgeskema fra hver kunde ikke være mere grundigt?

Der er et reelt argument for den nuværende tilgang. En kunde, der udformer sit eget spørgeskema, kan skræddersy det præcist til den risiko, leverandøren repræsenterer for dem: en leverandør, der håndterer følsomme data, får stillet andre spørgsmål end en, der leverer kontormøbler med en internetforbundet adgangskortlæser. Skræddersyede spørgeskemaer holder også ejerskab og ansvar præcis der, hvor NIS2 placerer det, hos den regulerede organisation selv, ikke hos en fælles skabelon, som ingen har gennemgået.

Problemet er, at denne grundighed kun fungerer i lille skala. Når først en organisation skal vurdere snesevis eller hundredvis af leverandører, og når hver af disse leverandører håndterer den samme forespørgsel fra flere kunder parallelt, bliver en skræddersyet, manuel proces ikke mere præcis med volumen. Den bliver langsommere, mere inkonsekvent og mere tilbøjelig til at blive besvaret overfladisk, bare for at få den væk fra nogens skrivebord. Præcision købt på bekostning af færdiggørelse er ikke til megen nytte for nogen.

Hvordan ser det faktisk ud at “vise sit arbejde”?

Dette er det problem, Lighthouses nye funktion med compliance-spørgeskemaer, bygget sammen med NFIR og Bizway, er rettet mod. Den giver en organisation standardiserede NIS2/Cbw-spørgeskemaer, i varianter skaleret efter, om kunden er en væsentlig eller en vigtig enhed, så en leverandør kan udfylde noget, der er proportionalt med den faktiske forpligtelse, frem for et maksimalistisk worst case. Svar reduceres ikke til ja eller nej; hvert svar bærer evidens, en forklaring eller en forventet dato, hvor noget stadig er i gang, og hvert svar er tidsstemplet med et audit trail.

Det mere nyttige skift er, hvad der sker efter det første svar. En leverandør kan svare én gang, vedhæfte evidensen og genbruge det attesterede bevis, næste gang en anden kunde stiller det samme spørgsmål, i stedet for at starte fra en blank formular hver gang. Endnu bedre: en leverandør behøver slet ikke at vente på forespørgslen: det samme udfyldte spørgeskema kan deles proaktivt med alle kunder på én gang og foregribe spørgsmålet, før det overhovedet lander.

For kundesiden kan en organisation registrere de leverandører, den er afhængig af, sende hver det passende spørgeskema i sit eget navn og se et live-overblik over, hvor hele kæden står, med genvurdering blot et enkelt klik væk ved næste cyklus. Spørgeskemaerne er inkluderet uden ekstra omkostninger for Guardian360-partnere og deres kunder, så budget er ikke grunden til at udskyde dette til næste kvartal. Guardian360 er tydelig om, at dette er et readiness-værktøj, ikke en certificering: det erstatter ikke en formel audit eller overensstemmelsesvurdering, og det hævder ikke at gøre det. Det, det erstatter, er de halvtreds separate regneark, ingen havde tid til at sammenligne.

Pointen var aldrig de 8.000

Det er værd at vende tilbage til, hvor dette startede. NIS2, og den Cyberbeveiligingswet, der gennemfører det, handlede aldrig rigtig om at hærde 8.000 organisationer isoleret. Hele logikken i artikel 21’s krav om forsyningskæden er, at en reguleret organisations sikkerhed kun er så god som de leverandører, der ligger under den. Behandl loven som en compliance-øvelse for de virksomheder, der er nævnt i dens anvendelsesområde, og den faktiske ambition, at hæve sikkerhedsniveauet på tværs af en hel forsyningskæde på langt over 100.000 virksomheder, mislykkes stille og roligt ved det første led uden for dette anvendelsesområde.

NFIR opdagede dette fra rådgiverstolen, mens de så organisation efter organisation få styr på sit eget hus, mens dens leverandører ikke havde noget sted at gå hen. Bizway opdagede det fra den modtagende ende, mens de besvarede det samme spørgsmål oftere og med mindre tålmodighed hver gang. De to observationer peger på den samme konklusion: compliance ved stedfortræder, én kunde, ét spørgeskema, én leverandør ad gangen, skalerer ikke til størrelsen af det problem, NIS2 blev skrevet for at løse. At bygge til laget under de 8.000 er ikke et sideprojekt. Det er tættere på lovens faktiske pointe, end certificeringskapløbet har været.

Kilder

• Rijksoverheid (7. juli 2026). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht.
• NCSC. Cyberbeveiligingswet (NIS2).
• ENISA (juni 2023). Good Practices for Supply Chain Cybersecurity.
• ISACA (4. maj 2026). Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance.