Incident response: 6 krav til jeres sikkerhedsleverandør

Kort fortalt:
Du får seks krav, der gør det lettere at vurdere en incident response-leverandør.
ENISA’s EUMSS-udkast peger på scope, kompetencer, eskalation, kontinuitet, dokumentation og exit.
Artiklen forklarer, hvorfor certificering ikke overtager virksomhedens eget ansvar.
Du kan bruge kravene i eksisterende aftaler og nye udbud.

Når et cyberangreb rammer, er det sjældent produktnavnet på sikkerhedsløsningen, der afgør udfaldet. Det er leverandørens evne til at opdage hændelsen, mobilisere de rette kompetencer, begrænse skaden og dokumentere beslutningerne. Netop den leverance vil EU gøre lettere at vurdere på tværs af lande.

Den 24. juli 2026 offentliggjorde EU’s cybersikkerhedsagentur ENISA et første udkast til European Cybersecurity Certification Scheme for Managed Security Services, EUMSS. Høringen løber til 13. september 2026. Ordningen er endnu ikke færdig, men kriterierne er relevante for danske ledelser, der køber incident response, Security Operations Center (SOC), penetrationstest eller anden ekstern cybersikkerhed.

EU bygger en fælles målestok for managed security services

Managed security services er ydelser, hvor en ekstern specialist udfører eller understøtter kundens styring af cyberrisici. EU’s lovgrundlag nævner blandt andet hændelseshåndtering, penetrationstest, sikkerhedsrevision og teknisk rådgivning. Leverandørerne får ofte dyb adgang til kundernes systemer og bliver derfor både centrale for forsvaret og attraktive mål for angribere.

ENISA’s udkast har en vandret del med fælles krav til alle omfattede tjenester og en lodret del med krav til konkrete serviceprofiler. Den første profil handler om incident response gennem hele hændelsens livscyklus. De fælles områder omfatter sikkert service- og platformsdesign, overgang og idriftsættelse, tilgængelighed og kontinuitet, operationel styring samt løbende forbedring og teknisk vedligeholdelse. Udkastet arbejder desuden med niveauerne basic, substantial og high.

Der er tale om en kandidatordning i offentlig høring, ikke et færdigt kvalitetsstempel, som danske leverandører allerede kan fremvise. For leverandører til EU’s Cybersecurity Reserve bliver certificering først et krav inden for to år efter, at en ordning er trådt i anvendelse.

Certificering flytter ikke kundens ansvar

En kommende EU-certificering kan gøre markedet mere sammenligneligt, men den kan ikke overtage virksomhedens risikovurdering. Styrelsen for Samfundssikkerhed understreger, at organisationen fortsat har ansvaret for sin informationssikkerhed, når hele eller dele af it-driften er lagt ud til en leverandør. Derfor skal kontrakt, samarbejde og opfølgning fungere før, under og efter aftaleperioden.

Det gælder også, hvis leverandøren har et anerkendt certifikat. Certificeringen kan dokumentere, at en bestemt tjeneste er vurderet mod fælles kriterier på et givent sikringsniveau. Den siger ikke automatisk, at tjenesten passer til jeres data, systemafhængigheder, trusselsbillede eller lovkrav.

1. Afgræns tjenesten og ansvaret. Beskriv præcist, hvilke systemer, lokationer og tidspunkter tjenesten dækker. Aftalen bør vise, hvem der må isolere en enhed, lukke en konto eller afbryde en integration, og hvornår ledelsen skal godkende et indgreb.
2. Dokumentér kompetencer og adgang. Bed om dokumentation for de roller, der faktisk bemander jeres leverance, deres erfaring og hvordan leverandøren kontrollerer privilegeret adgang. Kræv også en plan for sygdom, ferie og spidsbelastning.
3. Test eskalation og reaktionstid. Aftal målbare tider for kvittering, triage, mobilisering og første anbefaling. Gennemfør mindst én øvelse, hvor alarmer, kontaktveje, bevisindsamling og ledelsesbeslutninger afprøves. Mål på faktiske forløb, ikke kun på om en sag blev oprettet inden for en servicefrist.
4. Krav til kontinuitet under pres. Spørg hvordan leverandøren fortsætter, hvis egne platforme, identiteter eller kommunikationskanaler er kompromitteret. Der bør være alternative kontaktveje, beskyttede arbejdsstationer, adskilte kundemiljøer og kapacitet til samtidige hændelser.
5. Gør dokumentation til en leverance. Fastlæg på forhånd, hvilke logdata, tidslinjer, beslutningsspor og ledelsesrapporter I modtager. Dokumentationen skal kunne understøtte intern læring, forsikring, myndighedsdialog og eventuel hændelsesrapportering. Aftal samtidig opbevaring, fortrolighed og sikker sletning.
6. Planlæg overgang og exit. En robust aftale beskriver onboarding, ændringer og ophør. Sørg for, at detektionsregler, playbooks, kontaktlister og kundedata kan overdrages kontrolleret. Adgange skal lukkes hurtigt og efterprøvbart, uden at historik eller beredskab forsvinder i leverandørskiftet.

Danske virksomheder behøver ikke vente på det endelige EUMSS-certifikat. Start med at kortlægge de managed security services, I allerede køber, og sammenhold aftalerne med de fem fælles områder i ENISA’s udkast. Markér derefter huller i ansvar, bemanding, kontinuitet, dokumentation og exit.

For nye udbud bør I spørge, hvordan leverandøren forbereder sig på den europæiske ordning, og om den konkrete incident response-tjeneste forventes at kunne certificeres. Det giver et bedre grundlag for at vurdere scope, evidens og forventet sikringsniveau, før leverandøren får adgang til systemer og data.