Har du nogensinde tænkt over, hvorfor det er så svært at sælge i Europa?

I har et godt produkt. Prisen er konkurrencedygtig. Kunden kan se værdien. Alligevel går salget i stå.

Indkøbsafdelingen sender et sikkerhedsspørgeskema. Legal vil have et databehandlerbilag. Kundens sikkerhedsteam spørger til beredskab, underleverandører og sårbarhedshåndtering. Produktteamet bliver bedt om at forklare, hvordan AI anvendes, og salgsafdelingen mangler dokumentation for de svar, kunden forventer.

Pludselig handler salget ikke længere kun om, hvad produktet kan. Det handler også om, hvorvidt kunden har tillid til selve produktet, virksomheden bag det og jeres evne til at beskytte de data, I får ansvar for.

En del af forklaringen findes i de europæiske krav til cybersikkerhed, databeskyttelse, digital robusthed, produkter og kunstig intelligens. I denne artikel handler “Europa” derfor især om EU's indre marked og de leverandørkæder, som de europæiske regler påvirker.

Et godt produkt er ikke længere hele produktet

Når en større virksomhed køber software, teknologi eller andre digitale ydelser, køber den ikke kun funktionalitet. Den overtager også en afhængighed.

Det minder lidt om en flyrejse. Man køber ikke kun en billet fra A til B. Man forventer også, at sikkerheden, kontrollen og det operationelle fundament bag rejsen er i orden.

Kunden skal derfor forstå, hvad der sker, hvis leverandøren bliver ramt af et sikkerhedsbrud, mister kritiske data, ikke kan levere sin service eller anvender underleverandører, som ingen har overblik over. Kunden skal måske også kunne forklare det over for sin egen ledelse, sine kunder, revisorer eller myndigheder.

Derfor bliver spørgsmål om sikkerhed, data og governance en del af købsbeslutningen:

• Hvordan beskytter I vores data?
• Hvilke underleverandører anvender I?
• Hvordan håndterer I sikkerhedshændelser?
• Hvordan opdager og retter I sårbarheder?
• Hvordan sikrer I jeres softwareudvikling?
• Hvordan anvender I AI?
• Hvem har ansvaret, når noget går galt?
• Kan I dokumentere de svar, I giver?

For leverandøren kan det ligne et stadig voksende compliancearbejde. For kunden er det risikostyring.

Kravene bevæger sig gennem markedet

En af de mest almindelige misforståelser er, at en virksomhed kun behøver at forholde sig til et regelsæt, hvis den selv er direkte omfattet af det. Så enkelt fungerer markedet ikke.

Det betyder ikke, at alle regler gælder direkte for alle virksomheder. Det betyder, at reglerne påvirker markedets forventninger.

Et salg kan indeholde krav fra flere retninger

Forestil jer en dansk softwarevirksomhed med 45 medarbejdere. Virksomheden udvikler en cloudbaseret platform med en AI-understøttet funktion og vil sælge den til banker og offentlige organisationer.

Den er ikke nødvendigvis selv direkte omfattet af DORA eller NIS2. Alligevel kan den møde spørgsmål og kontraktkrav, der udspringer af kundernes egne forpligtelser. Samtidig kan andre krav være relevante:

• GDPR, fordi platformen behandler personoplysninger.
• AI Act, fordi virksomheden anvender eller integrerer AI.
• CRA, fordi virksomheden udvikler og markedsfører et softwareprodukt.
• Kundens egne sikkerhedskrav, risikopolitikker og revisionsbehov.
• Frivillige standarder eller dokumentationsformer som ISO 27001 eller SOC 2.

Virksomhedens udfordring er derfor sjældent blot at “blive compliant med en lov”. Den skal forstå, hvordan forskellige krav påvirker det samme produkt, de samme processer og de samme kundeløfter.

Den dyre måde at håndtere kravene på

Mange virksomheder møder kravene første gang midt i en salgsproces.

Kunden sender et spørgeskema fredag eftermiddag og ønsker svar mandag. Sales fordeler spørgsmålene mellem IT, produkt, legal og ledelse. Der bliver fundet gamle politikker i forskellige mapper, og flere personer formulerer hver deres version af, hvordan virksomheden arbejder.

Nogle spørgsmål bliver besvaret ud fra ambitioner frem for den faktiske praksis. Dokumenter bliver skrevet til den enkelte kunde og glemt bagefter. Når næste kunde spørger, begynder processen næsten forfra.

Det er dyrt af tre grunde:

1. Højt kvalificerede medarbejdere bruger tid på gentaget og ukoordineret arbejde.
2. Virksomheden risikerer at give inkonsistente svar eller love mere, end den kan dokumentere.
3. Kravene bliver behandlet som administration i stedet for som information om, hvad markedet forventer.

Virksomheden betaler dermed omkostningen ved compliance uden at opbygge et aktiv.

Den bedre tilgang: Byg et fundament, der kan genbruges

Et sikkerhedsspørgeskema er ikke kun en opgave, der skal afsluttes. Det er også markedsdata.

Det fortæller, hvad kunderne lægger vægt på, hvilke risici de forsøger at håndtere, og hvilken dokumentation virksomheden skal kunne levere for at blive opfattet som en troværdig samarbejdspartner.

Over tid begynder spørgeskemaerne også at afsløre mønstre. Kunder i samme branche spørger ofte om de samme forhold, prioriterer de samme kontroller og efterspørger den samme type dokumentation. Et spørgeskema siger derfor ikke kun noget om den enkelte kunde. Det kan også sige noget om hele det marked, virksomheden forsøger at sælge ind i.

Samtidig giver spørgsmålene et indblik i kundens eget risikobillede: Hvor oplever kunden sårbarhed? Hvilke afhængigheder forsøger den at reducere? Hvilke hændelser eller leverandørsvigt vil være sværest at acceptere?

Når kravene samles og struktureres, går de samme temaer ofte igen:

• ansvar og ejerskab
• kritiske systemer og data
• leverandører og teknologiske afhængigheder
• hændelses- og beredskabshåndtering
• adgangsstyring
• softwareudvikling og sårbarheder
• databeskyttelse
• brug og udvikling af AI
• risikovurdering
• dokumentation og ledelsesopfølgning

I stedet for at bygge et separat program for hver lov og et nyt sæt dokumenter til hver kunde kan virksomheden opbygge ét fælles fundament. Det kan derefter anvendes på tværs af kunder, kontrakter, reguleringer og interne beslutninger.

Kontrakten er den synlige gevinst

Den mest synlige gevinst er naturligvis, at virksomheden kan komme videre i salgsprocessen. Et troværdigt sikkerheds- og dokumentationsgrundlag kan hjælpe virksomheden med at:

• komme gennem kundens procurementproces
• besvare sikkerhedsspørgeskemaer mere effektivt
• reducere usikkerhed hos kundens legal- og sikkerhedsteams
• stå stærkere i kontraktforhandlinger
• kvalificere sig til større eller mere regulerede kunder
• undgå at blive fravalgt på grund af manglende svar eller dokumentation

Det garanterer ikke en kontrakt. Men det kan fjerne en barriere, som ellers kan blokere et godt produkt. Kontrakten er dog kun den mest synlige gevinst.

Kravene kan skabe bedre indsigt i virksomheden

For at kunne svare troværdigt på kundernes spørgsmål er virksomheden nødt til at forstå sig selv bedre:

• Hvilke systemer er kritiske?
• Hvilke data behandler vi?
• Hvilke leverandører er vi afhængige af?
• Hvem ejer de vigtigste beslutninger?
• Hvad sker der, hvis en central cloud-, software- eller AI-leverandør svigter?
• Hvad har vi lovet vores kunder?
• Hvad gør vi faktisk — og hvad står kun i et dokument?

Svarene er ikke kun relevante for compliance. De giver ledelsen et bedre billede af virksomheden, dens afhængigheder og dens reelle risici.

Kravene kan skabe en mere robust virksomhed

Et dokument beskytter ikke virksomheden mod en hændelse. Men arbejdet bag dokumentationen kan gøre en reel forskel.

Når roller bliver tydelige, kritiske leverandører identificeres, hændelsesplaner afprøves, sårbarheder håndteres systematisk, og sikkerhed bliver en del af produktudviklingen, bliver virksomheden mindre skrøbelig.

For sikkerhedsorganisationen er det en stærkere sikkerhedspositur. For resten af forretningen er det en virksomhed, der er bedre forberedt på afbrydelser, kundespørgsmål og svære beslutninger.

Genbrug gør næste salg billigere

Det første omfattende kundekrav kan være dyrt at håndtere. Det næste behøver ikke være lige så dyrt.

Når virksomheden opbygger et fælles og vedligeholdt grundlag, kan den genbruge:

• godkendte kundesvar
• beskrivelser af sikkerhedsarbejdet
• data-, system- og leverandøroverblik
• politikker og procesbeskrivelser
• risikovurderinger
• dokumentation for softwareudvikling
• AI-inventar og beslutningsgrundlag
• resultater fra øvelser og reviews

Det betyder ikke, at alle kunder skal have samme svar. Det betyder, at virksomheden ikke behøver at genopfinde sit fundament hver gang.

Og så er der mave-roen

Regulering og dokumentation kan ikke fjerne alle risici. De kan heller ikke garantere, at virksomheden aldrig bliver ramt af en sikkerhedshændelse. Men et ærligt og struktureret overblik kan give ledelsen noget, der ofte mangler: ro til at træffe beslutninger.

Ledelsen kan se, hvad virksomheden allerede har styr på, hvilke mangler der er væsentlige, hvilke risici den har accepteret, og hvilke løfter den kan stå inde for over for kunderne. Det er ikke falsk tryghed. Det er et bedre beslutningsgrundlag.

Compliance er ikke automatisk en konkurrencefordel

Det er fristende at konkludere, at compliance altid er en konkurrencefordel. Så enkelt er det heller ikke.

En dyr certificering, en stor samling politikker eller en avanceret platform skaber ikke nødvendigvis værdi, hvis den ikke matcher virksomhedens kunder, produkt og risici. Virksomheder kan også overinvestere: implementere processer, som ingen anvender, producere dokumentation uden forbindelse til virkeligheden eller forsøge at leve op til alle tænkelige krav på én gang.

Værdien opstår ikke, fordi virksomheden har lavet mere compliance. Værdien opstår, når arbejdet bag kravene forbedrer virksomhedens salg, beslutninger og måde at arbejde på.

Start med at forstå kravene

Det første skridt bør derfor sjældent være at købe en platform eller begynde at skrive flere politikker. Start i stedet med seks spørgsmål:

1. Hvem er virksomheden, og hvilke markeder opererer den i?
2. Hvad bygger, sælger og leverer virksomheden?
3. Hvilke data, teknologier og AI-løsninger anvender den?
4. Hvem er de vigtigste kunder og samarbejdspartnere?
5. Hvilke krav har virksomheden allerede modtaget?
6. Hvilke krav er direkte lovkrav, kundekrav, kontraktkrav eller frivillige valg?

Derefter kan virksomheden identificere overlap, prioritere de vigtigste gaps og opbygge det mindste fælles fundament, der både reducerer risiko og understøtter forretningen.

Fra adgangsbarriere til forretningsaktiv

Det europæiske marked er krævende. For virksomheder, der sælger teknologi og digitale tjenester, kan sikkerheds-, data- og dokumentationskrav være både tidskrævende og dyre.

Men kravene fortæller også noget vigtigt: Hvad kunderne har brug for at kunne stole på.

Den virksomhed, der alene ser kravene som en administrativ byrde, vil ofte blive ved med at betale for dem. Den virksomhed, der bruger dem til at opbygge indsigt, robusthed og et genbrugeligt fundament, kan få mere tilbage: bedre adgang til kunder, mere konsistente salgsprocesser, stærkere beslutninger, en mere robust virksomhed og større ro i ledelsen.

Det, der gør det svært at sælge i Europa, kan dermed blive en del af det, der gør jeres virksomhed lettere at købe fra.

Hvordan StraSec arbejder med kravlandskabet

StraSec hjælper virksomheder med at forstå, hvilke krav der gælder direkte, hvilke der kommer gennem kunder og leverandørkæder, og hvilke handlinger der skaber mest værdi først.

Vi starter ikke med at producere flere dokumenter. Vi starter med at skabe et kravkort: virksomhedens marked, produkter, data, teknologier, kunder og eksisterende forpligtelser. Derefter omsætter vi kravene til prioriterede beslutninger, et genbrugeligt dokumentationsgrundlag og konkrete næste handlinger.

Har I modtaget et sikkerhedsspørgeskema, et kontraktbilag eller nye krav fra en kunde, er det ofte det bedste sted at begynde.

Officielle kilder

• Europa-Kommissionen om NIS2
• DORA-forordningen på EUR-Lex
• Europa-Kommissionen om Cyber Resilience Act
• Europa-Kommissionen om AI Act og tidsplanen
• Europa-Kommissionen om GDPR-principper og ansvarlighed

Artiklen giver generel information og er ikke juridisk rådgivning. Om et konkret regelsæt gælder for en virksomhed eller et produkt, kræver en individuel vurdering.