Instructure/Canvas brud – konsekvenserne for it-leverandører

Instructure/Canvas brud og NIS2/Cybersecurity Act – konsekvenser for it-leverandører

Hvad skete der?

Den 2. maj 2026 bekræftede Instructure en sikkerhedshændelse i Canvas, hvor studenterdata, herunder navne, e-mailadresser, studenter-ID'er og beskeder, kan have været eksponeret. I alt 31 svenske højere uddannelsesinstitutioner blev berørt, alle brugende Canvas leveret via SUNET.

Hvem bærer ansvaret?

Tre aktører er involveret: Instructure (softwareleverandøren), SUNET (svensk formidler og indkøbsorgan) og universiteterne (slutkunder). Under cybersikkerhedsloven bærer SUNET det tungeste ansvar i Sverige:

Ansvars forsyningskæde. Cybersikkerhedsloven kræver, at organisationer pålægger sikkerhedskrav til leverandører og underleverandører, der leverer digitale tjenester. SUNET kan blive gransket for, om deres kontrakt med Instructure indeholdt tilstrækkelige sådanne krav.

Hændelsesrapportering. I tilfælde af en væsentlig hændelse skal operatøren indsende en tidlig advarsel inden for 24 timer, en mere detaljeret meddelelse inden for 72 timer, en fremdriftsrapport, hvis hændelsen er igangværende, og endelig en afsluttende rapport.

Sanktioner. Ledelsen kan holdes personligt ansvarlig for mangler, og organisationen risikerer betydelige økonomiske straffe baseret på global omsætning.

MSP'er og kritiske IT-leverandører står over for præcis den samme eksponering

Dette er ikke kun SUNET's problem. Som en MSP eller IT-leverandør til den offentlige sektor; skoler, kommuner, regioner, statslige myndigheder. Du er i præcis samme position. Du er linket mellem en underliggende platform og en slutkunde dækket af loven.

Og her er, hvad der virkelig bør få opmærksomhed: bruddet skete ikke på de svenske universiteter, det skete hos deres leverandør i USA.

Alligevel er det de svenske aktører i kæden, der bærer rapporteringsforpligtelserne, står over for granskning og risikerer sanktioner. Som en kritisk it-leverandør kan du risikere store bøder for en andens sikkerhedsfejl, hvis du ikke har:

• Dokumenterede sikkerhedskrav til dine underleverandører i kontrakter
• En hændelsesresponsplan med de stramme tidsfrister (24/72 timer) indbygget
• Processer til kontinuerlig overvågning og opfølgning på dine leverandørers sikkerhedsstatus

Operatører skal også selv identificere, at de er dækket, og registrere sig hos det svenske beredskab. Ingen myndighed vil komme og banke på. At alene springe dette trin over kan udløse tilsynsmæssig handling.

Bøderne er ikke symbolske: for væsentlige enheder kan sanktioner nå €10 millioner eller 2% af den globale årlige omsætning. For vigtige enheder er loftet €7 millioner eller 1,4%. Canvas-sagen er en konkret illustration af, hvordan reguleringen rammer i praksis, og endnu et wake-up call for hele den svenske IT-forsyningsindustri.