Spørgsmål om sikkerhed & cybersecurity og hvordan I griber det an samt krav om ISO 27001 er blevet en fast del af mange aftaler mellem virksomheder.
Kunderne har set, hvordan en leverandør kan blive vejen ind: Senest med CPR-lækket, hvor en leverandør var vejen ind til at hente omkring 8 millioner danske CPR-numre ud. Target og Mærsk blev ramt gennem en leverandør, og i 2025 blev 18 udbredte npm-pakker kompromitteret.
Kan I ikke svare hurtigt og dokumenteret på, hvordan I sikrer jeres egen leverandørkæde, risikerer I, at kunden vælger en, der kan. Her gennemgår vi, hvad kunderne spørger om, og hvordan I gør jer klar.
Hvad er et supply chain-angreb?
I et supply chain-angreb går angriberen gennem en leverandør, en softwarekomponent eller en integration, som virksomheden allerede har tillid til, og kommer dermed uden om de forsvar, den selv har bygget op. Det gør angrebet svært at opdage, fordi adgangen ser legitim ud: Det er en kendt konto, en almindelig softwareopdatering eller en godkendt forbindelse, der bliver brugt. Set fra kundens side er hver leverandør derfor en mulig indgang, og I bliver vurderet ud fra det.
Eksempler på angreb med forskellige veje ind
Target (2013): En ventilationsleverandør. Hackerne kom ind i det amerikanske detailkoncerns netværk med stjålne adgangsoplysninger fra en leverandør af ventilationssystemer. Derfra kunne de nå kassesystemerne og hente data fra op mod 40 millioner betalingskort, og personoplysninger om omkring 70 millioner kunder blev også berørt. Bruddet startede hos en underleverandør, som havde adgang til netværket.
Mærsk (2017): En opdatering til et bogholderiprogram. NotPetya spredte sig gennem en kompromitteret opdatering til det ukrainske bogholderiprogram M.E.Doc. Angrebet var rettet mod Ukraine, så Mærsk var ikke målet, men blev ramt som kollateral skade. Mærsk måtte geninstallere blandt andet 4.000 servere og 45.000 pc'er, og selskabet opgjorde tabet til 200-300 mio. USD.
npm (2025): En vedligeholder, der blev snydt. I september 2025 fik angribere adgang til kontoen hos vedligeholderen af en række udbredte JavaScript-pakker, efter at han havde fulgt en falsk e-mail om nulstilling af tofaktorgodkendelse. De udgav ondsindede versioner af 18 pakker, blandt andet chalk og debug, som tilsammen hentes over to milliarder gange om ugen. Koden var kun tilgængelig i cirka to timer, men det var nok til, at pakkerne kunne nå ind i udviklingsmiljøer og byggeprocesser. En softwareleverandør, der hentede de forkerte versioner, kunne dermed uden at vide det give kompromitteret kode videre til sine egne kunder.
CPR-lækket (2026): En virksomheds lovlige adgang. I oktober 2026 meldte CPR-administrationen, at uvedkommende havde fået adgang til navne, adresser og CPR-numre på cirka 8,8 millioner registrerede personer, altså langt de fleste i registret. Vejen ind var en privat dansk virksomheds lovlige adgang til at søge i CPR-systemet, som uvedkommende misbrugte. Søgningerne foregik inden for rammerne af det, private virksomheder har adgang til, og den uregelmæssige adfærd havde stået på i løbet af september, før CPR-administrationen blev opmærksom på det d. 2. oktober. For en kunde viser sagen, hvor meget der kan ligge i en enkelt leverandørs adgang.
Eksemplerne viser, hvorfor kunderne stiller krav til leverandørerne: I alle tilfælde sad svagheden i et led, som en anden virksomhed havde givet adgang og regnede for sikker.
Hvorfor kunderne stiller krav
Stort set alle virksomheder er i dag koblet sammen med deres omverden via integrationer til kunder, leverandører, betalingssystemer og open source-komponenter. Jeres kunders IT-sikkerhed bliver derfor aldrig stærkere end det svageste led i kæden, og i deres kæde er I et led. Selv med styr på deres egen sikkerhed kan kunderne blive ramt gennem en leverandør, og derfor stiller de krav til dem, de kobler sig på.
Sikkerhedsspørgeskemaer og krav om ISO 27001-certificering er almindelige i udbud og indkøb, og flere kunder forbeholder sig retten til at følge op. Er jeres kunder omfattet af NIS2, er sikkerhed i leverandørkæden desuden et eksplicit krav til dem (artikel 21), og deres ledelse kan drages til ansvar for, at kravene bliver overholdt (artikel 20). Kunderne skal altså kunne dokumentere, at de har vurderet jer, og kravene bliver givet videre til underleverandørerne. Derfor mærker I dem, selv om I ikke selv er omfattet af NIS2.
Manglende dokumentation bliver en barriere i salgsprocessen
Et fravalg kommer sjældent med en begrundelse. Det kan vise sig som en aftale, der aldrig bliver til noget, en salgsproces, der trækker ud, mens kunden venter på svar, eller en kunde, der ikke forlænger. Kan I ikke dokumentere jeres sikkerhed, fx gennem en ISO 27001-certificering, har kunden ikke noget at vurdere jer på, og så bliver I den leverandør, det er lettest at sige nej til.
Fem tiltag, der gør jer til den leverandør, kunderne vælger
- Kortlæg jeres egen leverandørkæde
Lav en samlet oversigt over de leverandører, integrationer og softwarekomponenter, som jeres ydelse bygger på, og notér, hvilke systemer og data hver af dem kan nå. Det er det første, en kunde vil spørge til. - Begræns adgangen til kundernes systemer og data
Giv jeres egne medarbejdere og underleverandører den mindst mulige adgang, adskil forbindelserne, og kræv fler-faktor-godkendelse. Det var for vid adgang, der gjorde en ventilationsleverandør til en vej ind hos Target. - Hav styr på vulnerability management på tværs af kæden
Det gælder både jeres egne systemer og de komponenter, I bygger oven på. Brug en Software Bill of Materials (SBOM) til at se, hvilke pakker der ligger i jeres software, så I kan svare, hvis en kunde spørger, om jeres produkt indeholder en kompromitteret komponent. Overvej også at fastlåse versioner, så nye udgivelser ikke automatisk kommer ind i jeres byggeproces. - Dokumentér, og send kravene videre
Hold ISO 27001-certificering eller tilsvarende dokumentation opdateret, og gør svarene på de faste kundespørgsmål let tilgængelige. Har I ikke en certificering endnu, så start med en gap-analyse, der viser, hvor langt I er fra kravene i ISO 27001, og hvad der skal på plads først. Kræv det samme af dem, I selv handler med, og aftal i kontrakterne, hvor hurtigt de skal give besked ved en hændelse. - Vær klar til at give besked
Beslut på forhånd, hvem der kontakter kunderne, hvis I selv bliver ramt, og hvor hurtigt det sker. Øv scenariet, så I ved, hvem der afkobler en forbindelse, og hvor hurtigt det kan gøres. Det er lettere for en kunde at fortsætte samarbejdet, når beskeden kommer fra jer, hurtigt og med konkrete oplysninger.
Er du i tvivl om, hvordan du gør din cybersikkerhed til en konkurrencefordel?
Tag den seneste sikkerhedsforespørgsel, I har fået fra en kunde, og besvar den ærligt. De spørgsmål, I ikke kan svare på, viser, hvor kunderne kan se en risiko, og det er dér, I skal starte. Hos Sentiq hjælper vi jer med at finde hullerne, før jeres kunder gør det, og med at komme fra første gap-analyse til en dokumentation, der kan bestå kundens vurdering. Kontakt os, så tager vi en uforpligtende samtale om, hvor I står i dag.
Max Schläger Nielsen
Head of Cybersecurity & Compliance
