Tredjeparts- og leverandørsikkerhedspolitik - SMV

P26S – Leverandørsikkerhedspolitik er specifikt tilpasset SMV'er og afspejler en styringsstruktur, hvor dedikerede it-roller som informationssikkerhedschef (CISO) eller sikkerhedsoperationscenter (SOC) typisk ikke er til stede. I stedet er ansvaret centraliseret hos den administrerende direktør (GM), hvilket forenkler ansvarlighed og samtidig opretholder stærk overholdelse af ISO/IEC 27001:2022 og andre centrale reguleringsmæssige rammer. Dette design sikrer robust sikkerhedstilsyn selv for mindre organisationer uden specialiseret personale. Politikkens hovedformål er at formalisere og håndhæve væsentlige sikkerhedsforanstaltninger ved indgåelse, styring eller ophør af relationer med tredjeparter og leverandører, der interagerer med eller påvirker organisationens data, systemer eller tjenester. Omfattede leverandører spænder fra IT- og cloud-tjenesteudbydere til udviklere samt HR- eller økonomikonsulenter. Ved at tydeliggøre sikkerhedsforventninger, dokumentere leverandørrisici før tildeling af adgang og kræve håndhævelige kontraktlige sikkerhedsforanstaltninger minimerer politikken risikoen for datalæk, ikke-godkendte systemændringer, regulatoriske overtrædelser og forretningsforstyrrelser. Politikken definerer eksplicit sit omfang til at omfatte både alle tredjeparter med potentiel adgang til organisationens aktiver og internt personale involveret i leverandørvalg, tilsyn, onboarding, kontrahering eller gennemgang. Centraliserede roller omfatter den administrerende direktør, IT-provider eller intern sikkerhedskontakt samt indkøbs- eller administrative kontaktpersoner, hvilket sikrer klar ansvarlighed gennem hele leverandørlivscyklussen. Leverandøren skal skriftligt acceptere at overholde sikkerhedsforpligtelser og rapportere hændelser. Centrale styringskrav omfatter leverandørrisikogennemgange før engagement, obligatoriske sikkerhedsklausuler i alle kontrakter, vedligeholdelse af et detaljeret leverandørregister samt procedurer for overvågning af ændringer i ejerskab, serviceomfang eller brug af underleverandører. Implementering kræver, at ingen leverandør nogensinde tildeles adgang før leverandør-due diligence og uden eksplicit godkendelse, at der kun gives mindste system-/dataadgang, og at al datatransmission er korrekt krypteret. Løbende krav omfatter periodisk revision og gennemgang, mindst årligt for højrisikoleverandører, samt strenge procedurer for opsigelse af kontrakter og tilbagekaldelse af adgang. Politikken integrerer en struktureret proces for risikobehandling og undtagelser, hvilket sikrer, at eventuelle mangler håndteres med kompenserende kontroller, og at ingen undtagelse kan krænke retlige eller reguleringsmæssige forpligtelser (f.eks. GDPR- eller DORA-krav). Håndhævelse er tydeligt beskrevet med sanktioner op til og inklusive kontraktopsigelse og retlige skridt. Revisionsparathed er indbygget og kræver dokumentation, der er tilstrækkelig til at bestå revisioner under ISO 27001, GDPR og relaterede standarder. Endelig sikrer den årlige gennemgangscyklus og koblingen til nært relaterede informationssikkerhedspolitikker, at politikken forbliver aktuel, effektiv og integreret i den bredere sikkerhedsramme.