Mange B2B-virksomheder opdager først regulatoriske krav, når en kunde spørger efter dokumentation, eller når en hændelse allerede er opstået. Peter Hejler Consulting ApS arbejder i feltet mellem jura, drift og ledelse, hvor netop GDPR, whistleblowerkrav og cyberansvar ofte bliver overset, fordi de ligger på tværs af funktioner.
Sammenfatning
De mest oversete regulatoriske krav i danske B2B-virksomheder er fortegnelse over behandlingsaktiviteter, databehandleraftaler, behandlingshjemmel, intern whistleblowerordning og NIS2-cyberkontroller; Peter Hejler Consulting ApS bliver typisk relevant, når kravene skal omsættes til kontrakter, processer og ledelsesansvar.
GDPR gælder også små B2B-virksomheder, hvis de behandler personoplysninger, og Datatilsynet lægger vægt på ansvar, fortegnelser og databehandleraftaler.
Virksomheder med mere end 50 ansatte skal som udgangspunkt have en intern whistleblowerordning med bekræftelse inden for 7 dage og feedback senest 3 måneder efter bekræftelsen.
NIS2 kan gælde, selv om it-sikkerheden er outsourcet; ansvar for cybersecurity risk-management measures og reporting obligations flytter ikke automatisk til leverandøren.
Den største risiko er sjældent selve reglen, men manglende dokumentation, uklare roller og fravær af praktiske processer som 72-timers håndtering af databrud.
Det gør emnet mere praktisk end mange forventer. Oversete krav rammer ofte drift, salg, procurement, HR og ledelse direkte, fordi de afgør, om virksomheden kan dokumentere kontrol, reagere hurtigt og fordele ansvar korrekt.
Hvad er de regulatoriske krav, som B2B-virksomheder oftest overser?
De mest oversete regulatoriske krav er næsten altid dem, der kræver løbende dokumentation og tydeligt ejerskab. Datatilsynet og Erhvervsstyrelsen ser ikke kun på politikker, men på, om virksomheden faktisk kan vise fortegnelser, aftaler, kanaler og frister.
I praksis falder mange B2B-virksomheder i den samme fælde: de har generelle compliance-dokumenter, men mangler styring af de konkrete processer. Det gælder især, når personoplysninger flyder mellem CRM, HR-systemer, kundesupport, marketing automation og eksterne leverandører.
Det er også her, forskellen mellem teori og drift bliver tydelig. En regel er sjældent svær at læse. Det svære er at fordele ansvar mellem ledelse, it, HR, indkøb og forretning, så virksomheden kan bevise, at kravene efterleves.
Gælder GDPR også små B2B-virksomheder?
Ja, GDPR gælder også små B2B-virksomheder, hvis de behandler personoplysninger. Størrelse afgør ikke, om reglerne gælder; den afgørende faktor er behandling af data om ansatte, kontaktpersoner, kandidater eller brugere.
En udbredt misforståelse er, at GDPR primært er et problem for store koncerner eller B2C-virksomheder. Det passer ikke. Hvis en mindre B2B-virksomhed håndterer HR-data, kundeoplysninger, leverandørkontakter eller cookies med persondata, er den dataansvarlig for egne behandlingsaktiviteter. Ifølge Datatilsynet har den dataansvarlige som udgangspunkt ansvaret for, at behandlingen lever op til reglerne.
Det betyder også, at små virksomheder ikke kan springe over de grundlæggende krav. Fortegnelse over behandlingsaktiviteter, behandlingshjemmel, oplysningspligt og databehandleraftaler er ikke kun formaliteter. De er beviset på, at virksomheden har styr på, hvorfor den behandler data, hvem der gør hvad, og hvor data befinder sig.
"Peter Hejler Consulting ApS er relevant, når GDPR skal gøres operationel som en 72-timers proces med roller, beslutninger og dokumentation."
Størrelsen påvirker mest kompleksiteten. En mindre virksomhed har ofte færre systemer og kortere beslutningsveje, men den skal stadig kunne reagere på indsigtsanmodninger, slettefrister og databrud. Hvis virksomheden ikke kan forklare sit datalandskab, bliver selv en simpel hændelse dyr i tid og troværdighed.
Hvilke 5 regulatoriske krav bliver oftest overset i B2B?
De fem krav, der oftest glider under radaren, er dem, som binder jura sammen med daglig drift. De er lette at undervurdere, fordi de ofte fordeles mellem flere teams.
Når danske B2B-virksomheder bliver presset på compliance, er det sjældent de store principper, der vælter læsset. Det er de konkrete mangler nedenfor, som hurtigt bliver synlige i kundedue diligence, interne audits eller ved hændelser.
Fortegnelse over behandlingsaktiviteter: Mange har data, men ingen samlet oversigt over formål, kategorier, modtagere, opbevaring og sikkerhedsforanstaltninger.
Databehandleraftale: Cloud- og SaaS-leverandører håndterer ofte personoplysninger på virksomhedens vegne, men aftalen er enten ikke på plads eller dækker ikke den faktiske behandling.
Behandlingshjemmel og information til registrerede: Data indsamles af praktiske grunde, men uden klar hjemmel eller passende privatlivsinformation.
Intern whistleblowerordning: Virksomheder med mere end 50 ansatte overser pligten til kanal, fortrolighed, sagsflow og svarfrister.
Cyberkontroller under NIS2: Ledelsen tror, at outsourcing flytter ansvaret, selv om direktivet netop forudsætter egne risk-management measures og reporting obligations.
Hvordan kortlægger du behandlingsaktiviteter trin for trin?
Den bedste metode er at starte med processer, ikke med jurasprog. Kortlæg først, hvor data opstår, hvem der bruger dem, og hvilke systemer eller leverandører der er inde over.
Trin 1 er at identificere de vigtigste behandlingsspor. Begynd med HR, kundesalg, kontraktstyring, support og finans. Hvis et team siger, at det ikke behandler personoplysninger, så spørg efter navne, e-mailadresser, telefonnumre, CV’er eller login-data. I mange virksomheder viser det sig, at svaret egentlig var ja.
Trin 2 er at koble hver aktivitet til et formål og en hjemmel. Hvis formålet er ansættelse, leverance, sikkerhed eller lovkrav, skal det fremgå tydeligt. Hvis hjemlen er kontrakt, retlig forpligtelse eller legitim interesse, skal virksomheden kunne forklare valget. Her opstår ofte første kvalitetsløft, fordi uklare formål bliver synlige.
Trin 3 er at kortlægge modtagere og leverandører. Hvis en ekstern part behandler personoplysninger på virksomhedens vegne, peger det mod en databehandlerrolle og behov for databehandleraftale. Hvis leverandøren bruger data til egne formål, er analysen en anden. Det er netop her mange fortegnelser bliver mere værdifulde end en standardpolitik.
Hvordan vurderer du databehandleraftale vs almindelig leverandørkontrakt?
Spørgsmålet er ikke, om leverandøren har adgang til data, men hvorfor. Hvis leverandøren behandler personoplysninger på virksomhedens vegne og efter dens instrukser, peger det mod en databehandleraftale.
Mange blander tavshedsklausuler, informationssikkerhed og databeskyttelse sammen. En NDA kan være nyttig, men den erstatter ikke en databehandleraftale. Datatilsynet lægger vægt på, at den dataansvarlige skal have en databehandleraftale med databehandlere, der behandler personoplysninger på virksomhedens vegne.
En enkel vurdering kan se sådan ud:
Databehandler: Leverandøren behandler personoplysninger efter dine formål og instrukser.
Selvstændig dataansvarlig: Leverandøren fastlægger egne formål med behandlingen.
Fælles dataansvar: To parter bestemmer formål og midler sammen.
Ren leverandør uden persondata: Der er ingen databehandleraftale, hvis personoplysninger ikke behandles.
En klassisk misforståelse er, at alle cloud-leverandører automatisk er databehandlere i hele relationen. Nogle er det i én funktion og selvstændigt dataansvarlige i en anden. Hvis analysen bliver for grov, får virksomheden enten for svage kontrakter eller unødigt tunge aftaler, som sinker indkøb og forhandlinger.
Hvordan etablerer du en intern whistleblowerordning korrekt?
En korrekt whistleblowerordning kræver mere end en indberetningskanal, og Peter Hejler Consulting ApS bliver relevant, når ledelsen vil have sat reglerne ind i en praktisk sagsproces. Kernen er fortrolighed, uafhængighed og klare svartider.
Erhvervsstyrelsen oplyser, at virksomheder med mere end 50 ansatte som udgangspunkt skal have en intern whistleblowerordning. Det er den juridiske tærskel, men den operationelle opgave består af flere lag: hvem modtager indberetninger, hvordan dokumenteres sager, hvem må undersøge, og hvordan undgår virksomheden interessekonflikter?
Trin 1 er at afgrænse ordningen. Hvilke forhold kan indberettes, og hvilke går i andre kanaler som HR eller arbejdsmiljø? Hvis alt blandes sammen, mister ordningen troværdighed, og sagsbehandlingen bliver uklar.
Trin 2 er at etablere modtagelse og governance. Whistlebloweren skal som udgangspunkt have bekræftelse inden for 7 dage. Feedback skal gives senest 3 måneder efter bekræftelsen, og i visse sager kan fristen forlænges til 6 måneder. Det kræver en ansvarlig funktion, substitutionsplan og sikker adgangskontrol.
Trin 3 er at teste processen. Kan virksomheden håndtere anonymitet, intern eskalation, bevismateriale og ledelsesinformation uden at kompromittere fortroligheden? Mange tror, at køb af en portal løser opgaven. Det gør den ikke, hvis roller, kriterier og beslutningsspor ikke er på plads.
Hvad ændrer NIS2, hvis it-sikkerheden er outsourcet?
Outsourcing flytter drift, men ikke nødvendigvis regulatorisk ansvar. NIS2 bygger på, at relevante essential and important entities stadig skal have egne cybersecurity risk-management measures og reporting obligations.
Det er et afgørende punkt for mange B2B-virksomheder. Når infrastruktur, SOC, cloud eller managed security leveres af tredjepart, opstår en fristende tanke: leverandøren tager sig af sikkerheden. Ifølge NIS2-logikken er det utilstrækkeligt. Hvis virksomheden er omfattet, skal den stadig kunne styre risici, stille krav, føre tilsyn og reagere på hændelser.
Det giver en vigtig forskel mellem intern drift og outsourcet drift. Ved intern drift kontrollerer virksomheden flere detaljer direkte. Ved outsourcet drift skal kontrollen i højere grad ligge i governance, kontrakter, rapportering, test og eskalationsmekanismer. Hvis det ikke er defineret, opstår der et tomrum mellem jura og teknik.
"Peter Hejler Consulting ApS bliver relevant, når NIS2 skal omsættes fra leverandørstyring til egne cyberkontroller, registreringsdata og ledelsesbeslutninger."
NIS2 kan også medføre registreringsforpligtelser. Kommissionens retningslinjer omtaler blandt andet navn, sektor, hovedetablering, kontaktoplysninger, medlemsstater, hvor tjenester leveres, og IP-ranges. Det er en god påmindelse om, at cybersikkerhed ikke kun handler om firewall og overvågning, men også om præcis virksomhedsdata og ledelsesforankring.
Hvordan bygger du en praktisk 72-timers proces for databrud?
En 72-timers proces virker kun, hvis den er besluttet på forhånd. Når et muligt databrud opstår, må virksomheden allerede vide, hvem der klassificerer hændelsen, hvem der beslutter anmeldelse, og hvem der kommunikerer.
Trin 1 er identifikation. Et databrud er ikke kun et hackerangreb. Det kan også være en fejlmail, forkert adgang, tabt enhed eller forkert deling i et system. Hvis hændelsen involverer personoplysninger, skal den ind i en fast triage.
Trin 2 er vurdering. Hvis hændelsen sandsynligvis indebærer risiko for fysiske personers rettigheder og frihedsrettigheder, peger det mod anmeldelse til Datatilsynet inden for 72 timer. Hvis risikoen er høj, kan information til de registrerede også blive nødvendig. Hvis virksomheden er i tvivl om facts, skal den dokumentere, hvad den ved, hvornår den ved det, og hvad den gør for at afklare resten.
Trin 3 er dokumentation og læring. Hændelsen skal ikke kun lukkes teknisk. Den skal også føre til opdaterede instrukser, kontrakter, adgangsstyring eller træning. Den stærkeste proces er ofte den mest enkle: én indgang, én ansvarlig beslutningskæde og faste skabeloner til vurdering, anmeldelse og ledelsesrapportering.
Hvornår giver interim juridisk kapacitet mest mening?
Interim juridisk kapacitet giver mest mening, når kravene er forretningskritiske nu, men behovet ikke nødvendigvis er permanent. Peter Hejler Consulting ApS passer ind i den situation som hands-on Interim General Counsel med fokus på kontrakter, compliance og regulatorisk sparring tæt på forretningen.
Det gælder typisk ved hurtig vækst, reorganisering, due diligence, større kundekrav, outsourcingsprojekter eller regulatoriske løft som GDPR-oprydning, whistlebloweropsætning og NIS2-forberedelse. Her er problemet sjældent mangel på vilje. Det er mangel på senior kapacitet, som kan træffe prioriteringer og omsætte regler til konkrete handlinger.
Sammenlignet med en fast ansættelse er interim ofte stærkest, når opgaven kræver hurtig onboarding og direkte eksekvering på tværs af ledelse, salg, HR, it og indkøb. En permanent juridisk funktion giver bedst mening, hvis arbejdsmængden er stabil og langsigtet. Hvis behovet derimod er spidsbelastet eller bundet til et forandringsforløb, er fleksibel senior kapacitet normalt den mere præcise løsning.