Kundene deres må nå dokumentere dere: nye norske krav til teknologi- og KI-leverandører

Hvorfor kundene er så opptatt av dette

Det er sjelden leverandøren kundene har vurdert, som blir angrepet. Høsten 2026 ble Canva rammet gjennom Canny, en liten leverandør av et verktøy for tilbakemeldinger. Canva bekreftet at angriperne fikk tilgang til informasjon om bedriftskunder og kontrakter gjennom Cannys kobling til Canvas Salesforce, og angriperne hevder at de nådde mange andre selskaper på samme måte. (Kilde) Derfor vil kundene deres vite hvem som står bak dere, ikke bare hvem dere er.

Det som gjelder nå

• DORA, finanssektoren (fra 1. juli 2025) DORA-loven gjelder fra 1. juli 2025. Banker, forsikringsselskaper og forvaltere må føre et register over alle avtaler med IKT-leverandører, inkludert underleverandørkjeden, og rapportere det til Finanstilsynet hvert år. Første frist var 13. mars 2026. (Finanstilsynet om registeret) Alle avtalene skal blant annet regulere hvor data behandles og bruken av underleverandører. Avtaler som støtter kritiske eller viktige funksjoner, skal i tillegg gi revisjonsrett og en exit-plan, og de skal meldes til Finanstilsynet før de inngås. Finanstilsynet kan pålegge foretaket å endre eller avslutte en avtale som ikke oppfyller kravene. (Finanstilsynet om DORA, veiledning om melding av IKT-avtaler)

• Digitalsikkerhetsloven (fra 1. oktober 2025) Virksomheter som leverer samfunnsviktige tjenester innen blant annet energi, transport, helse, vannforsyning, bank og digital infrastruktur, må styre sikkerhetsrisikoen i egne systemer, og det omfatter risikoen fra leverandørene. (Lovdata, NSM)

• Personvernforordningen (GDPR) Alle kunder som lar dere behandle personopplysninger, skal ha en databehandleravtale med dere og kunne godkjenne eller motsette seg underdatabehandlerne deres. Når dere legger til en ny KI-funksjon som sender kundedata til en modelleverandør, er det i praksis en ny underdatabehandler som kunden skal varsles om.

Det som kommer

• NIS2 NIS2 skal gjennomføres gjennom endringer i digitalsikkerhetsloven, men direktivet er ennå ikke tatt inn i EØS-avtalen. (Stortingets europautvalg, mars 2026) Det vil omfatte langt flere virksomheter enn i dag, også innen industri, mat, avfall og IKT-tjenester, og stiller strengere krav til kontroll med hele leverandørkjeden. Datoen er ikke fastsatt, men kundene deres forbereder seg allerede.

• KI-forordningen (AI Act) I EU gjelder hoveddelen av forordningen fra 2. august 2026, blant annet krav om å si fra når folk har med KI å gjøre. Kravene til høyrisiko-KI er utsatt til desember 2027 og august 2028. (EU-kommisjonen) I Norge er forordningen ennå ikke tatt inn i EØS-avtalen. Regjeringen tar sikte på å legge fram en norsk KI-lov for Stortinget våren 2027, og Nkom blir koordinerende tilsynsmyndighet. (Nkom om tilsynet) Selger dere til kunder i EU, stiller de krav etter forordningen allerede nå.

Hva kundene vil spørre dere om

• Hvilke underleverandører bruker dere, også for KI? En fullstendig liste: hva hver leverandør gjør, hvilke data den får, og hvor dataene behandles. Ligger noe utenfor EØS, vil de vite hvilket overføringsgrunnlag dere bruker.

• Trener KI-leverandøren på dataene våre? Svaret må stå i avtalen med modelleverandøren, ikke bare i en bloggpost fra dem. Kundene vil se at dere har sjekket det.

• Hva skjer hvis en av leverandørene deres har en hendelse? Kundene har egne frister, for eksempel 72 timer for å varsle Datatilsynet om brudd på personopplysningssikkerheten. De trenger at dere varsler dem raskt nok til at de rekker sin frist.

• Kan vi revidere, og hvordan kommer vi oss ut? DORA krever revisjonsrett og en exit-plan i avtaler som støtter kritiske funksjoner. Har dere svaret klart, går forhandlingen raskere.

• Hva endrer seg når dere lanserer nye KI-funksjoner? Nye funksjoner betyr ofte nye leverandører. Kundene vil bli varslet før, ikke oppdage det i en lanseringsmelding.

Slik blir dere leverandøren som er lett å godkjenne

• Ha et levende register over egne leverandører Én oversikt over alle leverandører og KI-modeller dere bygger på: hva de gjør, hvilke data de får, hvor de ligger, avtale og databehandleravtale. Oppdatert når noe endres, ikke én gang i året.

• Dokumenter KI-bruken per leverandør Hvilken KI som brukes, om den trener på kundedata, hvilket risikonivå den har, og når det sist ble bekreftet av leverandøren.

• Ha svarene klare før skjemaet kommer Liste over underdatabehandlere, databehandleravtale, sertifikater og sikkerhetsbeskrivelse på ett sted, som dere kan dele med kunden i stedet for å fylle ut et nytt skjema hver gang.

• Ha en plan for hendelser i leverandørkjeden Hvem varsler hvem, innen hvilken frist, og hvor beslutningene dokumenteres. Øv på det før det skjer.

• Gå gjennom avtalene mot DORA-vilkårene Sjekk egne leverandøravtaler for revisjonsrett, datalokasjon, underleverandører og exit før en bankkunde ber om det.

Derfor bør dere bruke Granur

• Leverandørregisteret kundene ber om, ferdig Alle leverandører og KI-modeller dere bygger på, i ett register med status for sikkerhetsvurdering, godkjenning og egne retningslinjer. Eksporter det som CSV når en bankkunde trenger grunnlag til sitt DORA-register.

• KI-bruken dokumentert per leverandør KI-profil og risikonivå for hver leverandør: hva KI-en gjør, om den trener på kundedata, og hva avtalen sier. Leverandørene svarer på et KI-spørreskjema via en sikker lenke, og bekrefter på nytt hvert år.

• Databehandleravtaler og underdatabehandlere under kontroll Status for databehandleravtale, datakategorier, hvor dataene ligger og overføringsgrunnlag per leverandør. Mangler vises i rødt, og registeret over databehandlere kan eksporteres til protokollen over behandlingsaktiviteter.

• Hendelser i leverandørkjeden, med frister Hendelsesloggen teller ned 72-timersfristen fra dere ble kjent med bruddet, og saker kan sendes rett til Jira eller ServiceNow.

• Avtalevilkårene på plass Granur leser avtalene med KI og trekker fram vilkårene om KI-bruk og exit, og varsler før oppsigelsesfristene. Sertifikater som SOC 2 og ISO 27001 følges opp med utløpsdato.

• Løpende oppfølging, ikke en årlig øvelse Scorekort og forretningsgjennomganger med leverandørene gir dokumentasjon på at dere følger dem opp over tid, slik NIS2 forventer. Alt logges i en revisjonslogg som kan eksporteres.

• Ett svar til kundene Trust status viser hvor hver leverandør står. Det gjør det raskere å svare på kundenes spørsmål, og vanskeligere å glemme noe.

Vil dere se hvordan det ser ut med deres egne leverandører? Ta kontakt for en kort demo.

Les mer

• Leverandørene deres har lagt til KI. Fikk noen vite det? Hvorfor KI kommer inn gjennom oppdateringer fra leverandører dere allerede har godkjent, med en avtaleklausul og et spørreskjema dere kan bruke. For dere er det også en sjekkliste for hva kundene forventer av dere. Les artikkelen

• Leverandøren ingen vurderte Canva, Trezor og Ledger ble rammet gjennom små leverandører flere ledd unna. Les artikkelen (på engelsk)

• NIS2 og leverandørsikkerhet: en sjekkliste Hva NIS2 forventer av styringen av leverandører, og en liste å gå gjennom. Les artikkelen

• KI-forordningen for virksomheter som kjøper KI Spørsmålene kundene deres vil stille før de godkjenner en KI-funksjon. Les artikkelen

• Slik leser du en SOC 2-rapport Hva kundene ser etter i rapporten deres, og hva dere bør se etter hos egne leverandører. Les artikkelen

Oversikten gjelder per november 2026 og er ikke juridisk rådgivning. Tidsplanene for NIS2 og KI-loven kan endre seg; sjekk Lovdata, regjeringen.no og tilsynenes egne sider for siste status.