Digital suverænitet

70 13 63 23

Koncentrationsrisiko: når mange bruger samme leverandør

Koncentrationsrisiko: når mange bruger samme leverandør

Når mange organisationer bruger den samme leverandør, rammer en fejl hos leverandøren dem alle på samme tid. Exit-planen skal derfor vurdere, hvor meget jeres kritiske systemer deler leverandør med resten af jeres branche, og hvor meget de deler indbyrdes.

Artiklen forklarer begrebet, viser det med hændelser, som leverandørerne selv har beskrevet, og giver en fremgangsmåde til at bruge spredning i prioriteringen.

Hvad koncentrationsrisiko betyder

Begrebet har en præcis definition i den finansielle sektors forordning om digital operationel modstandsdygtighed, DORA. Artikel 3, nr. 29, beskriver IKT-koncentrationsrisiko som en eksponering over for én eller flere forbundne kritiske leverandører. Eksponeringen skaber en afhængighed, hvor et udfald hos leverandøren kan true evnen til at levere kritiske eller vigtige funktioner.

Definitionen er skrevet til banker, forsikringsselskaber og andre finansielle virksomheder. Tankegangen kan bruges af alle organisationer, der har samlet mange funktioner hos få leverandører.

Risikoen har to sider. Den interne side handler om, hvor mange af jeres egne funktioner der hviler på samme leverandør. Den eksterne side handler om, hvor mange andre i jeres branche eller i samfundet der gør det samme.

Én konfigurationsfejl, mange websites

Cloudflare leverer netværks- og sikkerhedstjenester, som ligger foran mange andre virksomheders websites. Den 18. november 2025 gik selskabets net ned fra 11.20 UTC. Ifølge Cloudflares egen gennemgang var den centrale trafik stort set genoprettet kl. 14.30, og alle tjenester var normale kl. 17.06.

Årsagen var en ændring af rettigheder i en database. Den fik en fil til selskabets botbeskyttelse til at vokse ud over en grænse i proxysoftwaren, som derefter fejlede. Cloudflare skriver, at hændelsen hverken direkte eller indirekte skyldtes et angreb.

Den 5. december 2025 fulgte et nyt udfald på omkring 25 minutter. Det ramte ifølge Cloudflare cirka 28 procent af al HTTP-trafik gennem selskabet. Udløseren var ændringer i behandlingen af forespørgsler, som Cloudflare indførte for at afbøde en sårbarhed i React Server Components.

En region, mange afhængige tjenester

AWS’ region US-EAST-1 i Northern Virginia havde et udfald fra 19. til 20. oktober 2025. Ifølge AWS’ opsummering varede hændelsen omkring 14 timer og 32 minutter.

Udgangspunktet var en latent fejl i det automatiske system, der styrer DNS for DynamoDB. Fejlen efterlod en tom DNS-post for tjenestens regionale endpoint. Derfra spredte problemerne sig til blandt andet EC2, Lambda, load balancere, login til administrationskonsollen og AWS’ egen supportportal.

Hændelsen viser en anden side af koncentration. Selv inden for én udbyder hænger tjenesterne sammen, så en fejl i én grundlæggende komponent kan ramme mange andre. Kunder, der havde spredt deres systemer på flere tjenester hos samme udbyder, var ikke nødvendigvis spredt i forhold til denne fejl.

Fælles branchesoftware

RTX, der ejer Collins Aerospace, indberettede i en 8-K til det amerikanske finanstilsyn SEC, at selskabet den 19. september 2025 blev opmærksom på et ransomwareangreb. Angrebet ramte systemer bag softwaren MUSE, som lader flere flyselskaber dele check-in, gates og bagagehåndtering i lufthavne.

Ifølge indberetningen gik kunderne over til reserveløsninger eller manuelle processer, og der var forsinkelser og aflysninger. Brussels Airport oplyste senere, at angrebet på den eksterne leverandør af check-in og boarding førte til aflyste fly mellem 20. og 28. september.

Ifølge AP blev også Berlin Brandenburg og London Heathrow ramt. Lufthavnene havde ikke selv været udsat for angrebet. De delte system med hinanden og med flyselskaberne.

Leverandøren rammes, kunderne afbryder

Den 7. april 2026 blev den hollandske leverandør af journalsystemer ChipSoft ramt af et angreb. Ifølge NOS bruger anslået 70 procent af de hollandske hospitaler selskabets systemer. Sektorens sikkerhedscenter Z-CERT rådede hospitalerne til at afbryde deres VPN-forbindelser til ChipSoft og overvåge netværkstrafikken.

NOS opgjorde, at 11 hospitaler tog deres patientportaler offline. NL Times gengav, at ChipSoft bekræftede en mulig uautoriseret adgang og at selskabet ikke var i stand til at afvise, at der var adgang til patientdata.

Sagen viser, at en fælles leverandør også er en fælles adgangsvej. Når leverandøren er kompromitteret, kan det rigtige svar være at afbryde forbindelsen. Det kræver, at kunderne kan klare sig uden leverandøren i en periode.

Afhængigheder, I ikke selv har valgt

Mange af de fælles led ligger et lag under det, organisationen selv har købt. Et website kan ligge hos en dansk hostingudbyder, der bruger en udenlandsk netværkstjeneste. Et lønsystem kan køre hos en leverandør, der har lagt driften i en stor cloudregion.

Den slags afhængigheder står sjældent i jeres egne kontrakter. De viser sig først, når leverandørens leverandør svigter. Derfor skal kortlægningen spørge hver kritisk leverandør, hvilke tjenester de selv ikke kan undvære, og om de har en plan, hvis de forsvinder.

Fire mønstre i hændelserne

Hændelserne har forskellige årsager, men nogle træk går igen.

  • Fejlen lå hos leverandøren. Kunderne havde i de fleste tilfælde ikke selv gjort noget forkert.
  • Fejl og angreb gav samme virkning. Tre af hændelserne skyldtes interne fejl hos udbyderen, to skyldtes angreb. For kunden var resultatet i alle tilfælde, at en kritisk funktion var væk.
  • Flere i samme branche blev ramt samtidig. Lufthavnene og hospitalerne stod med det samme problem på samme dag, fordi de delte system.
  • Reserveløsningen var ofte manuel. Både lufthavnene og hospitalerne måtte falde tilbage på manuelle processer.

Myndighederne vurderer koncentrationen

DORA pålægger finansielle virksomheder at tage koncentrationsrisiko med, når de indgår aftaler om kritiske IKT-tjenester. Efter artikel 29 skal de blandt andet vurdere, om leverandøren er svær at erstatte, og om de har flere aftaler med samme eller nært forbundne leverandører. De skal afveje fordele og omkostninger ved alternativer, fx andre leverandører.

De tre europæiske tilsynsmyndigheder EBA, EIOPA og ESMA offentliggjorde 18. november 2025 den første liste over kritiske IKT-leverandører under DORA. Listen omfatter 19 selskaber, blandt andre europæiske enheder af Amazon Web Services, Google Cloud og Microsoft samt Deutsche Telekom, Orange og SAP.

Udpegningen betyder, at tilsynsmyndighederne fører direkte tilsyn med selskaberne. For andre sektorer er der tilsvarende krav til leverandørstyring i NIS2, jf. → NIS2 og jurisdiktion i leverandørstyringen.

Sådan indgår spredning i prioriteringen

Koncentration er en faktor i prioriteringen i → trin 6. Brug fremgangsmåden på de systemer, I allerede har kortlagt i → trin 1.

  1. Saml leverandørerne pr. funktion · Skriv for hver kritisk funktion de leverandører, den afhænger af, også netværk, DNS, identitet og hosting.
  2. Find de fælles led · Markér de leverandører, der går igen på tværs af flere kritiske funktioner. Det er jeres interne koncentration.
  3. Vurder branchens brug · Notér, om leverandøren også bruges af en stor del af jeres branche eller jeres samarbejdspartnere. Det er den eksterne koncentration.
  4. Følg kæden et led længere · Spørg jeres leverandører, hvilke underleverandører de selv er afhængige af, jf. → trin 3.
  5. Beskriv reserveløsningen · Angiv for hver kritisk funktion, hvad I gør, hvis leverandøren er væk i et døgn og i en uge.
  6. Afprøv afbrydelsen · Øv, hvordan I afbryder forbindelsen til en kompromitteret leverandør, og hvor lang tid det tager.

Spredning kan betyde en anden leverandør til en del af funktionen, en region hos en anden udbyder eller en manuel procedure. Valget afhænger af, hvad det koster sammenlignet med konsekvensen af et udfald.

Hvad analysen kan og ikke kan vise

Analysen kan vise, hvor mange af jeres funktioner der falder sammen, hvis én leverandør svigter, og hvor branchen deler samme afhængighed. Den kan også vise, hvor jeres reserveløsning er uprøvet.

Den kan ikke forudsige, hvornår en hændelse sker, eller hvor længe den varer. Spredning kan desuden øge kompleksiteten og dermed skabe nye fejlkilder. Den juridiske afhængighed, altså hvilke staters love leverandørerne er underlagt, vurderes særskilt efter → de tre lag.

Betydningen for exit-planen

Koncentration gør exit vigtigere og sværere på samme tid. Jo flere funktioner der hviler på én leverandør, jo mere kræver et skifte. Start derfor med de fælles led, hvor et udfald rammer flest funktioner.

Notér den interne og eksterne koncentration for hver kritisk leverandør, og brug den som vægt i prioriteringen. Beregn omkostningen ved et skifte eller en delvis spredning i → trin 5, og skriv krav om varsling ved hændelser ind i kontrakten i → trin 8. Europæiske alternativer til netværkstjenester er gennemgået i → CDN: europæiske muligheder.

En uvildig gennemgang kan give ledelsen et samlet billede af, hvor afhængighederne samler sig. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger afhængighedsgrad og exit pr. system.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026