Hos en leverandør med mange kunder er spørgsmålet, hvad I deler med de andre. Kontrollen handler derfor om de fælles komponenter: lager, adgangsstyring og administrationsnet. Bed leverandøren beskrive, hvordan jeres data er adskilt fra andres, hvilke dele der er fælles, og om en erklæring eller et certifikat dækker netop de fælles dele.
Risikoen findes kun hos en leverandør med flere kunder. Har I et miljø for jer selv, er artiklen mindre relevant. Det har de færreste.
Hvad en udtalelse fra 2015 viste
Datatilsynet udtalte sig i december 2015 om et hackerangreb hos en driftsleverandør. Sagen er afgjort efter den dagældende persondatalov, som siden er afløst af databeskyttelsesforordningen og databeskyttelsesloven. Den bruges her som illustration af risikoen i delte miljøer og ikke som gældende retspraksis.
En statslig myndigheds data blev behandlet i et mainframemiljø, som også rummede systemer for andre myndigheder. Miljøet var delt i fire logiske partitioner. Diskene var dog fælles og kunne tilgås fra alle partitioner, og ét fælles adgangskontrolsystem styrede brugere og administratorer for dem alle.
En angriber kom ind via en webserver, der kunne nås fra internettet, og som én af myndighederne var ansvarlig for. Derfra fik angriberen ubegrænset adgang til alle data og kopierede adgangskontrolsystemets database. Ifølge udtalelsen udnyttede angrebet to sårbarheder, som der ikke fandtes rettelser til på det tidspunkt.
Datatilsynet vurderede, at delingen af disksystemet og adgangskontrolsystemet påførte de dataansvarlige forøgede risici fra hinanden. Delingen af disksystemet undergravede desuden forsvar i dybden. Myndigheden havde derfor ikke haft tilstrækkelig kontrol med sikkerheden hos leverandøren.
Pointen for en køber er, at partitionerne så adskilte ud. De fælles komponenter under dem var det, der bandt kunderne sammen.
Først: hvor ligger data?
Inden I kan vurdere adskillelsen, skal I vide, hvor data behandles. Datatilsynet skriver i sin vejledning om cloud, at kunden skal kortlægge alle underleverandører og vide, hvor oplysningerne behandles. Er der tvivl, lægger tilsynet til grund, at alle underdatabehandlere i leverandørens generelle oversigt bliver brugt.
Datatilsynets skabelon til databehandleraftalen har en rubrik i bilag C.5 om lokaliteten for behandlingen. Står den tom eller med et generelt svar, er det et sted at begynde.
Sikkerdigitals spørgeskema til leverandører spørger, hvor serverne står, om der bruges hosting eller cloud, og om der bruges underleverandører.
Hvad I kan kontrollere i et delt miljø
Kontrolpunkterne her er praksis. Ingen kilde lister dem.
- Logisk adskillelse · En beskrivelse fra leverandøren af skellet mellem jeres og andres data
- Fælles lager · Om lager eller backup deles med andre kunder, og hvordan adgangen styres
- Fælles adgangsstyring · Om administratorer har adgang på tværs af kunder, og hvem de er
- Administrationsnet · Om leverandørens egne værktøjer når alle kunder fra samme sted
- Indgange fra internettet · Om en anden kundes eksponerede system kan give adgang til fælles komponenter
- Dokumentation · Om erklæring eller certifikat dækker de fælles faciliteter
Det sidste punkt er vigtigt. Statens standardkontrakt K04 skelner i bilag 4.e mellem kontraktens egne sikkerhedskrav og de forhold og faciliteter hos leverandøren, der deles med andre kunder. Til de fælles faciliteter peger bilaget på en erklæring efter ISAE 3402, type II. K04 gælder kun, hvis parterne har aftalt den, men opdelingen er nyttig for alle. Se mere under ISAE 3000 eller ISAE 3402.
Forsvar i dybden som målestok
Bilaget til gennemførelsesforordning (EU) 2024/2690 kræver i punkt 6.8.1 adskillelse fra tredjeparters systemer og net. Kravet rammer de digitale udbydere, forordningen omfatter, og er for andre en målestok.
Udtalelsen fra 2015 giver et konkret spørgsmål at stille: Hvis en anden kundes system bliver kompromitteret, hvad er så det næste lag, der beskytter jeres data? Leverandørens svar viser, om der er tænkt i lag, eller om én fælles komponent bærer det hele.
Et tænkt eksempel: Leverandøren forklarer, at kunderne har hver deres virtuelle servere. På opfølgende spørgsmål viser det sig, at alle servere administreres med samme administratorkonto, og at backup for alle kunder ligger på samme lager. Det er de to punkter, auditten bør gå videre med.
Når I ikke kan få svar
Nogle leverandører vil ikke beskrive deres arkitektur med henvisning til sikkerhed og andre kunders fortrolighed. Det er et forståeligt hensyn. Spørgsmålet er så, hvad I kan få i stedet: en gennemgang på stedet uden kopi, en erklæring, hvis omfang dækker de fælles faciliteter, eller en skriftlig bekræftelse af de konkrete punkter i tabellen ovenfor. Siger leverandøren nej til det hele, hører det svar med i jeres vurdering af risikoen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at leverandøren vil beskrive sin arkitektur på et niveau, hvor de fælles komponenter fremgår. Det kan være følsomt for leverandøren, så aftal fortrolighed, og bed om indsigt frem for kopi, hvis det er nødvendigt.
Uden kontrol bærer I en risiko fra kunder, I ikke kender. Udtalelsen fra 2015 viser, at kunden kan blive vurderet på, om den har haft kontrol med sikkerheden hos leverandøren.
Det skal I lade være med
- At tage logisk adskillelse for givet · spørg til de fælles komponenter under den.
- At godkende en erklæring, før I har tjekket dens dækning af fælles faciliteter · det er dér, kunderne deler risiko.
- At bruge sagen fra 2015 som gældende ret · den er afgjort efter en lov, der ikke gælder mere.
Det skal auditten kunne vise
- ☐ Hvor jeres data behandles, og af hvilke underleverandører.
- ☐ Leverandørens beskrivelse af adskillelse og af fælles komponenter.
- ☐ Hvem der har administratoradgang på tværs af kunder.
- ☐ Om erklæring eller certifikat dækker de fælles faciliteter.
- ☐ Leverandørens svar på, hvad der beskytter jer, hvis en anden kunde rammes.
Kilder
- Datatilsynet, udtalelse af 15. december 2015, j.nr. 2014-632-0082, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1 og 3.4, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.5, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), pkt. 1.A og 1.B, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 bilag 4.e Revision og kontrol, afsnit 2.1, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 6.8.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om en beskrivelse af, hvilke komponenter I deler med andre kunder, og hold den op mod omfanget af deres erklæring.
Læs også: Audit af en SaaS-leverandør · Leverandøren vil ikke udlevere dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
