Digital suverænitet

70 13 63 23

Leverandører fra lande uden for Danmarks sikkerhedspolitiske fællesskab

Leverandører fra lande uden for Danmarks sikkerhedspolitiske fællesskab

Kameraer, netværksudstyr og programmer fra lande uden for Danmarks sikkerhedssamarbejde findes også i danske organisationer. Københavns Kommune fandt alene over 800 kinesiske kameraer, da den kortlagde sit udstyr i 2025. Vurderingen af dem hviler på et enkelt spørgsmål, nemlig hvilken stat producenten i sidste ende skal adlyde.

Artiklen forklarer, hvordan dansk lovgivning beskriver risikoen, hvad NIS2 lægger over på den enkelte organisation, og hvilke spørgsmål indkøb kan stille. Den vurderer ikke konkrete produkter eller leverandører.

Hvad udtrykket dækker i dansk lovgivning

Den mest præcise danske beskrivelse står i lov om leverandørsikkerhed i den kritiske teleinfrastruktur fra 2021. Lovens § 2, stk. 2, nævner fire forhold, der kan indgå, når en leverandør vurderes. De gælder leverandøren selv, dens væsentligste underleverandører og dem, der kontrollerer den.

  1. Leverandøren er hjemmehørende i eller producerer fra et land, som Danmark ikke har en sikkerhedsaftale eller et tilsvarende samarbejde med.
  2. Hjemlandets lovgivning gør det muligt at pålægge leverandøren at deltage i spionage eller sabotage.
  3. Leverandøren kontrolleres direkte eller indirekte af et andet lands statslige organer, også militære.
  4. Leverandøren har været involveret i aktiviteter, der har skadet statens sikkerhed eller den offentlige orden.

Listen nævner ingen lande ved navn. Den beskriver mekanismer, og det gør den brugbar langt uden for telesektoren.

Hjemlandets lovgivning følger med produktet

Kriterium nummer to handler om lovgivning, der rækker ind i virksomhederne. Kinas lov om national efterretning blev vedtaget 27. juni 2017 og ændret 27. april 2018. Ifølge lovens artikel 7 skal enhver organisation og borger støtte, bistå og samarbejde med det nationale efterretningsarbejde og hemmeligholde det.

Artikel 14 giver efterretningstjenesterne ret til at kræve den støtte af organisationer og borgere. En engelsk oversættelse findes hos China Law Translate. Hvordan pligten anvendes over for et datterselskab i Europa, fremgår ikke af de to artikler. Den usikkerhed kan en kontrakt med leverandøren ikke fjerne.

Den samme logik gælder i princippet enhver stat med vidtgående adgang til virksomheders data. For amerikanske udbydere er mekanismen en anden, jf. → Cloud Act.

Det danske forbud gælder kun teleinfrastrukturen

Efter lovens § 2 og § 3 kan Center for Cybersikkerhed forbyde en væsentlig teleudbyder at indgå eller opretholde aftaler om kritiske netkomponenter. Myndigheden kan også forbyde brugen af udstyr, der allerede er leveret, og fastsætte en frist for afviklingen.

Et forbud forudsætter en trussel mod statens sikkerhed. Det må kun nedlægges, hvis mindre indgribende foranstaltninger ikke er tilstrækkelige. Udgør forbuddet et ekspropriativt indgreb, ydes der fuld erstatning efter § 4. Hvordan reglerne har ramt en dansk teleudbyder, beskrives i → sagen om TDC og Huawei.

For kommuner, regioner, hospitaler og virksomheder uden for telesektoren findes ingen tilsvarende forbudsordning. Her ligger vurderingen hos organisationen selv.

NIS2 lægger vurderingen hos den enkelte organisation

NIS2-direktivets artikel 21, stk. 2, litra d, kræver, at væsentlige og vigtige enheder sikrer forsyningskæden. Efter stk. 3 skal de tage hensyn til de sårbarheder, der er specifikke for hver direkte leverandør. I Danmark er direktivet gennemført med NIS 2-loven, som trådte i kraft 1. juli 2025.

Artikel 22 åbner for koordinerede risikovurderinger af kritiske forsyningskæder på EU-plan. De kan omfatte ikketekniske risikofaktorer, og enhederne skal tage hensyn til resultaterne. Ejerskab og hjemland er netop ikketekniske faktorer. Hvordan kravene omsættes til leverandørstyring, gennemgås i → NIS2 og leverandørstyring.

EU og USA har navngivet bestemte leverandører

Europa-Kommissionen meddelte 15. juni 2023, at Huawei og ZTE efter dens vurdering udgør væsentligt højere risici end andre 5G-leverandører. Kommissionen besluttede samtidig at undgå, at egne kommunikationssystemer bruger mobilnet med de to leverandører.

I USA offentliggjorde Federal Communications Commission 12. marts 2021 sin liste over udstyr, der anses for en uacceptabel risiko. Listen omfattede Huawei og ZTE samt Hytera, Hikvision og Dahua, de tre sidste for udstyr brugt til offentlig sikkerhed.

Kommissionen foreslog 20. januar 2026 en ny cybersikkerhedsforordning med en ordning for højrisikoleverandører i IKT-forsyningskæden. Ifølge Cullen International og Hogan Lovells kan Kommissionen efter forslaget udpege tredjelande og leverandører, de kontrollerer. Europa-Parlamentets procedureoversigt viste 30. oktober 2026, at forslaget fortsat var under udvalgsbehandling. Pakken omtales nærmere i → Tech Sovereignty Package og CADA.

Et eksempel fra Københavns Kommune

Københavns Kommune gennemførte i 2025 en afdækning af kinesisk hardware og software i kritiske installationer. Ifølge budgetnotatet ØK59 til budget 2026 fandt den 795 overvågningskameraer og 31 trafikkameraer fra kinesiske producenter, primært Dahua og Hikvision.

Notatet regner med, at omkring tre fjerdedele af udgiften går til nye kameraer og resten til selve udskiftningen. Det forventer, at de fleste kan skiftes inden for to år, mens enkelte er bundet af aftaler med længere løbetid.

To forhold fra notatet er værd at bemærke. Kameraerne står på et lukket netværk, og forvaltningen vurderede derfor ikke, at der var en IT-sikkerhedsmæssig bekymring. Udskiftningen begrænses desuden af, at kommunen skal købe via en statslig rammeaftale, hvor de ikke-kinesiske alternativer måske ikke har samme funktioner.

Hvad myndighedernes vejledning beder indkøb om

Styrelsen for Samfundssikkerhed har udgivet vejledningen Cybersikkerhed i overvågningsudstyr fra 28. februar 2023. Den anbefaler, at leverandøren dokumenterer, at den ikke har adgang til udstyret uden organisationens vidende. Leverandøren skal også dokumentere sin håndtering af sårbarheder og oplyse udstyrets oprindelsesland.

Vejledningen peger på to forhold, der ofte overses. Samme produkt kan være fremstillet af én producent og sælges under flere varemærker. Og er leverandøren omfattet af et andet lands eksportkontrol, kan muligheden for support og opdateringer forsvinde.

Leverandørens egne leverandører

Kriterierne i loven om leverandørsikkerhed omfatter de væsentligste underleverandører og dem, der har kontrol over leverandøren. Det er relevant, når konsulenter, integratorer eller driftsleverandører selv vælger de programmer, de bruger på kundens data.

En organisation kan derfor have en ren liste over egne indkøb og alligevel få data behandlet i programmer fra lande, den aldrig ville vælge selv. Kortlægningen af kæden hører til i → trin 3 om underdatabehandlere og leverandørkæden.

Spørgsmål, indkøb kan stille

Spørgsmålene bygger på lovens fire kriterier og vejledningens anbefalinger. De kan bruges i udbud, ved fornyelse og over for eksisterende leverandører.

  1. Ejer og kontrol · Hvem ejer leverandøren, hvor er moderselskabet registreret, og har en stat direkte eller indirekte indflydelse? Svaret kontrolleres i registre, jf. → trin 2 om juridisk enhed og moderselskab.
  2. Produktion og drift · Hvor udvikles software og firmware, hvor produceres udstyret, og hvorfra ydes support og fjernadgang?
  3. Varemærke og oprindelig producent · Er produktet fremstillet af en anden producent og solgt under leverandørens navn?
  4. Adgang · Kan leverandøren eller producenten tilgå udstyret, og kan organisationen se og lukke den adgang?
  5. Opdateringsvej · Hvor kommer opdateringerne fra, og hvad sker der, hvis eksportkontrol eller sanktioner stopper dem, jf. → sanktioner og dekreter?
  6. Underleverandørers værktøjer · Hvilke programmer bruger leverandøren og dens underleverandører til at behandle organisationens data?
  7. Udskiftning · Hvor lang tid og hvilke kontrakter skal der til, hvis udstyret skal ud før tid?

Hvordan krav om jurisdiktion kan formuleres i et offentligt udbud, uddybes i → jurisdiktion i offentlige udbud.

Hvad vurderingen kan og ikke kan

Vurderingen kan vise, hvor organisationen er afhængig af producenter, hvis hjemland kan kræve deres medvirken. Den giver et grundlag for at prioritere efter, hvad udstyret ser, hører og har adgang til.

Den kan ikke påvise, at et bestemt produkt indeholder bagdøre eller sender data ud. Vejledningen fra Styrelsen for Samfundssikkerhed bemærker selv, at ukendte sårbarheder er svære at undersøge. Hjemland er heller ikke den eneste risiko, og europæiske og amerikanske produkter skal vurderes efter samme målestok.

Betydningen for exit-planen

Udstyr og software fra lande uden for sikkerhedssamarbejdet er en exit-opgave, fordi en beslutning om udskiftning kan komme med kort varsel. Det kan ske udefra, fx ved et forbud eller en sanktion, eller indefra efter en ny risikovurdering.

  • Notér producent, oprindelig producent og hjemland for kameraer, netværksudstyr og programmer i kortlægningen fra → trin 1.
  • Sorter efter, hvad udstyret har adgang til, og planlæg udskiftningen til den naturlige fornyelse, hvor det er forsvarligt.
  • Skriv krav om dokumentation af ejerskab, oprindelse og opdateringsvej ind i næste kontrakt.

Når kortlægningen rummer mange producenter og leverandørkæder, kan en uvildig gennemgang give overblik. Nielco IT’s jurisdiktions- og afhængighedsvurdering omfatter juridisk enhed og moderselskab bag hver kontrakt samt risikoen ved opkøb og sanktioner.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026