Leverer I til en bank, et forsikringsselskab eller en virksomhed under NIS2, kan kundens kontrakt kræve, at I varsler eller får godkendt en ny underleverandør, før I skifter et system, der bruges i leverancen. Et skifte til et europæisk alternativ er derfor også en sag over for kunden, og I skal kunne vise den nye kæde, før den tages i brug.
Søger I på leverandørkrav fra en bank eller krav til underleverandører, er det ofte fordi, kunden har sendt et spørgeskema eller et kontraktbilag. Denne artikel handler om det øjeblik, hvor I selv vil skifte et system, og kravene fra kundens regler rammer jeres valg. Gengivelsen af reglerne er kort, og tolkninger er markeret som vores. Brug den som baggrund, og få en jurist til at se på jeres konkrete kontrakter.
Hvordan kravene når jer
Forordningerne gælder for jeres kunde. DORA gælder for finansielle enheder, og NIS2-loven gælder for de virksomheder, den omfatter. Det er vores læsning, at kravene når jer gennem kundens kontrakt. Kunden skal have bestemte punkter i sine aftaler, og de punkter bliver jeres forpligtelser.
For finansielle kunder kræver DORA art. 30, at aftaler med IKT-udbydere indeholder bestemte punkter, bl.a. om adgang til og tilbagelevering af data. En delegeret forordning om underentreprise, 2025/532, giver i art. 6 den finansielle enhed ret til at aftale opsigelse, hvis udbyderen gennemfører væsentlige ændringer i underentreprisen trods indsigelse eller uden godkendelse inden fristen. Hvordan exit-kravet lander hos en leverandør til en finansiel virksomhed, er gennemgået på leverandør til en bank.
For kunder under NIS2 kræver § 6, stk. 1, nr. 4, at de sikrer forsyningskæden, herunder forholdet til deres direkte leverandører. Hvad kunden kræver af jer, står i kontrakten og eventuelt i et sikkerhedsbilag.
Hvornår et skifte er en sag for kunden
Ikke alle systemer hos jer berører kunden. Et skifte af jeres egen bogføring eller jeres interne chat gør det sjældent. Et skifte af det system, hvor kundens data ligger, eller hvor I udfører leverancen, gør det næsten altid.
Gå kontrakterne med jeres regulerede kunder igennem og find tre ting:
- Hvilke af jeres systemer og underleverandører er nævnt, eller hvilke dele af leverancen er omfattet af krav om underleverandører?
- Hvad kræver kontrakten ved ændring af underleverandør: varsel, godkendelse, ret til indsigelse eller opsigelse?
- Hvilke krav gælder for, hvor data må behandles og opbevares?
Svarene afgør, om et skifte kan ske som en intern beslutning, eller om det skal forelægges kunden. Kundens sikkerhedskrav i kontrakten er gennemgået fra ledelsens side i sikkerhedskrav i kundekontrakten.
Det, I skal kunne vise efter skiftet
Det er vores læsning, at en reguleret kunde vil spørge om de samme ting, uanset om den nye leverandør er europæisk eller ej.
Hele kæden. Hvem er den nye leverandør, hvem ejer den, hvem driver den, og hvilke underleverandører bruger den? Et europæisk alternativ kan køre på en anden udbyders cloud, og den udbyder bliver så en del af kæden til kunden. Spørgsmålene følger sitets målestok for europæisk.
Hvor data står. Land og datacenter for kundens data, og om noget behandles uden for EU eller EØS.
Hvordan data kommer ud igen. Kan kundens data hentes ud i et format, kunden kan bruge, hvis I eller den nye leverandør ophører? Det er det samme spørgsmål, kunden selv skal kunne besvare over for sin myndighed.
Sikkerhed og hændelser. Hvordan den nye leverandør håndterer sikkerhed, og hvordan en hændelse hos den når frem til jer og videre til kunden inden for de frister, kontrakten sætter.
Et skifte kan styrke jeres position
For nogle kunder er et europæisk alternativ et plus. En kunde, der arbejder med sin egen afhængighed af leverandører uden for EU, kan se det som en fordel, at jeres kæde er kortere eller mere gennemskuelig. Det kræver, at I kan dokumentere det, og at ændringen er varslet rigtigt. Spørg kunden, før I vælger, om de har krav eller ønsker til, hvor jeres underleverandører hører hjemme. Det er lettere at vælge efter kundens krav end at forklare et valg bagefter.
Hvad det kræver, og hvad det koster at lade være
Et skifte kræver en gennemgang af kontrakterne med de regulerede kunder, et varsel eller en anmodning om godkendelse, hvor kontrakten kræver det, og en opdateret beskrivelse af jeres kæde. Regn tid til kundedialogen med, og læg den før selve overgangen, så kunden kan nå at svare. Skøn tiden lavt og højt pr. kunde.
Lader I være, kan et skifte, der var tænkt som en forbedring, blive et kontraktbrud. Kunden kan i værste fald have ret til at opsige, og en reguleret kunde skal reagere, fordi dens egen myndighed vil spørge.
Det skal I lade være med
- At skifte et system i leverancen uden at læse kundens kontrakt · varsel eller godkendelse kan være et krav.
- At gå ud fra, at europæisk altid er godt nok · kunden vil se hele kæden.
- At varsle efter skiftet · kunden skal kunne nå at gøre indsigelse.
Det skal valget kunne vise
- ☐ Hvilke regulerede kunder skiftet berører, og hvad kontrakterne kræver.
- ☐ Ejer, drift og underleverandører for den nye leverandør, med dato.
- ☐ Hvor kundens data står og behandles efter skiftet.
- ☐ Hvordan kundens data kan hentes ud ved ophør.
- ☐ Varsel eller godkendelse fra kunden, hvor kontrakten kræver det.
Kilder
- Forordning (EU) 2022/2554 (DORA): art. 30.
- Delegeret forordning (EU) 2025/532: art. 6.
- NIS2-loven, lov nr. 434 af 6/5 2025: § 6, stk. 1, nr. 4.
Senest gennemgået: november 2026.
Næste skridt
Find kontrakten med jeres største regulerede kunde, og læs afsnittet om underleverandører. Det viser, hvor lang tid et skifte skal planlægges.
Læs også: Kunden kræver europæisk · NIS2-virksomheder
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
