Hvad er en leverandør?
En leverandør kan levere en lang række af forskellige produkter, varer eller ydelser til en forretning eller en privatperson. En leverandør er en fysisk person eller en virksomhed.
Hvorfor er leverandørstyring vigtig?
Når myndigheden overlader driften af sine it-systemer til en leverandør, kan der opnås en række fordele, såsom adgang til færdigheder, myndigheden ikke har inhouse samt bedre udnyttelse af interne ressourcer.
Outsourcing sker dog på bekostning af direkte kontrol. Derfor er det vigtigt at sikre et højt sikkerhedsniveau gennem indirekte kontrolværktøjer som aftalegrundlag, statusmøder, måling, rapportering og revision.
Det er essentielt for myndighedens informationssikkerhed, at disse værktøjer er effektive. Det er blandt andet det, leverandørstyring handler om.
Kom godt i gang med leverandørstyring
Leverandørstyring består af mange faser. I filmen kan du især blive klogere på den fase, der følger, når kontrakten med leverandøren er indgået. Undervejs i filmen kan du teste din viden.
Højt trusselsniveau kræver bedre leverandørstyring
I følge Center for Cybersikkerhed er cybertruslen blevet et grundvilkår for danske myndigheder og virksomheder. Samtidig er der med indførelsen af skærpet lovgivning de seneste år, herunder Databeskyttelsesforordningen (GDPR) sket en tydeliggørelse af vigtigheden af, at fremme beskyttelse af persondata. Dette øger betydningen af, at myndigheden har en grundig tilgang til informationssikkerheden hos leverandøren, da konsekvenserne ved sårbarheder hos leverandøren og læk kan være store. Center for Cybersikkerhed og Digitaliseringsstyrelsen har udgivet en vejledning med anbefalinger til, hvordan organisationer kan overse cyber- og informationssikkerheden i de forskellige faser af et outsourcing-forløb.
Se vejledningen: Cybersikkerhed i leverandørforhold
Indbygget databeskyttelse (privacy by design)
Behandlingssikkerhed omhandler korrekt og sikker behandling af information, fx personoplysninger, hvilket blandt andet kan opnås gennem design og standardindstillinger. Tilsvarende ved leverandørstyring skal databeskyttelse gennem design og standardindstillinger indtænkes i fx it-systemer tidligst muligt.
Læs mere om Indbygget databeskyttelse (privacy by design)
Leverandørstyring og ISO 27001
I dag anvender de fleste myndigheder outsourcing, og har de ansvaret for samfundskritiske it-systemer er de underlagt krav om outsourcing af it-drift. Leverandørstyring fylder dog ikke særlig meget i ISO 27001-standarden, men fremgår i Anneks A afsnit 5.19 - 5.22 (afsnit 15 i ISO 27001:2013), der indeholder kontroller omhandlende leverandørstyring. Disse kontroller er derfor meget essentielle for myndigheder med outsourcing.
En leverandørstyringsproces kan beskrives i 5 faser
Billedet illustrer de 5 faser i leverandørstyringsprocessen, samt fase 0, som er opbygningsprocessen, og det samlede overblik, som er forudsætningerne for opbygningen af en effektiv leverandørstyrringsproces. På undersiderne om leverandørstyring beskrives de enkelte faser nærmere.
Kontraktstyring og det samlede overblik
En af de væsentligste forudsætninger for leverandørstyring er, at man har et godt overblik over, hvilke leverandører, man har, og hvor kontrakterne er i deres livscyklus. Som det fremgår af ovenstående figur, er en velfungerende kontraktstyring en forudsætning for leverandørstyring, og man bør have et samlet overblik over hvilke faser de enkelte aftaler og leverandører er i:
Udbud
Implementering
Drift
Afslutning / På vej i genudbud.
Fasemodel for kontrakter
Særlige krav til myndigheders kontrakt- og leverandørstyring med eksterne leverandører af samfundskritiske it-systemer Myndigheder, der outsourcer deres samfundskritiske it-systemer, skal efterleve en række krav til kontrakt- og leverandørstyring, herunder myndighedernes organisering, risikostyring og beredskabsplanlægning. Dette er for at sætte større fokus på myndigheders ansvar ved outsourcing af samfundskritiske it-systemer. Vurderingen af it-systemers kritikalitet skal foretages af myndigheden selv, og der findes definitioner på samfundskritiske it-systemer i ”Vejledning til model for porteføljestyring af statslige it-systemer” (se oes.dk), som myndigheden kan benytte i sin vurdering. Kataloget findes her:
Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer