...
Alle artikler
Oversigten rummer hver artikel på sitet, delt i de samme tolv emner som temasiderne og i samme rækkefølge, som en leverandøraudit forløber. Under hvert emne kommer de brede artikler før de smalle. Leverandørens egne artikler står samlet i deres eget afsnit.
Beslutningen: hvem, hvornår og af hvem
- Leverandøraudit, leverandørvurdering og tilsyn: tre grader af kontrol
- Hvilke leverandører skal auditeres? Udvælgelse efter adgang, data og afhængighed
- Hvor ofte skal en leverandør auditeres?
- Audit efter en sikkerhedshændelse hos leverandøren: omfang og tidspunkt
- Før underskrift: det, I kan kontrollere med bevis nu, og det, der kræver en auditret
- Årsplan for leverandøraudits: kontraktfornyelser, erklæringsdatoer og besøg i én kalender
- Indkøb, IT eller kontraktejer: hvem ejer leverandørauditten?
- Selv, revisor eller uvildig rådgiver: hvem skal udføre auditten?
- Hvad påvirker omfanget af en leverandøraudit, og hvordan får I et tilbud?
- Audit af en leverandør, der er langt større end jer
- Audit af den lille leverandør: forholdsmæssige krav og kontrol
- Fælles audit: flere kunder auditerer samme leverandør
- Hvem har bestilt rapporten? Fem slags sikkerhedsrapporter fra leverandøren og afsenderens uafhængighed
- Leverandørstyring: hvad det er, hvad politikken skal indeholde, og hvor auditten hører hjemme
Kontraktgrundlaget for audit
- Revisionsretten i kontrakten: det skal klausulen sige for at kunne bruges
- Ingen revisionsret i aftalen: hvad kan I så kontrollere?
- Hvem betaler for auditten?
- Sikkerhedsbilaget som auditgrundlag: krav skrevet, så en auditor kan afgøre dem
- K04’s punkt 15 og 16 og bilag 4.e: den årlige revisorerklæring, kundens egen audit og handlingsplanen
- K02 og K03: auditbestemmelsen er en bevisregel om indsigt, og sikkerheden skrives ind for sig
- Bilag C.7 og C.8 i databehandleraftalen felt for felt: erklæring eller inspektion, hvor ofte, for hvis regning
- Revisionsret over for underleverandører: sådan når kontrollen ned i kæden
- Fortrolighed og adgangsregler for auditoren, og hvad der sker med materialet bagefter
- Når auditten finder brud på aftalen: frister, bod og ophævelse
- Audit ved kontraktophør: stikprøvekontrol af sletning, backup og lukkede adgange
- DORA’s revisionsret holdt op mod en almindelig klausul, punkt for punkt
- Leverandør i energisektoren: aftalens punkter, og hvad kunden kontrollerer
- Leverandør til en myndighed med et samfundskritisk system: de to kataloger, kunden styrer jer efter
- EU-Kommissionens standardbestemmelser for databehandlere (2021/915): revisionsbestemmelsen i 7.6 over for den danske skabelon
- Leverandørens vilkår indsnævrer auditten: det, en databehandler ikke kan aftale sig ud af
- Tillæg til en løbende aftale: få revisionsretten ind uden at genforhandle alt
- Mellem to audits: driftsrapporteringen som løbende bevis
- Når kundens tilsynsmyndighed vil ind hos leverandøren: pligten til at bistå
- Supportperioden som kontraktvilkår og auditpunkt
Forberedelse og omfang
- Afgræns auditten: ydelser, systemer og lokationer
- Auditkriterier: hvad måler I leverandøren imod?
- Auditplanen, I sender til leverandøren: hvem de skal stille med, og hvilke systemer der skal være åbne
- Dokumentanmodningen: listen, I sender før auditten
- Kend jeres egen leverance, før I auditerer
- Varslet audit eller audit uden varsel hos leverandøren
- Fjernaudit eller besøg hos leverandøren
- Første audit af en leverandør, I har arvet
Spørgeskema og svar
- Sikkerhedsspørgeskema til leverandører: spørgsmål, der giver brugbare svar
- Sådan læser I et udfyldt spørgeskema: tegn på, at svaret ikke holder
- Standardskemaer til leverandørvurdering: hvornår de passer
- Leverandøren svarer ikke, svarer udenom eller siger nej
- CRA-spørgsmål i leverandørspørgeskemaet: det, der kan besvares nu, og det, der må vente
Erklæringer og certifikater læst som modtager
- Kan erklæringen erstatte jeres egen audit? Otte betingelser at prøve den på
- Komplementære brugerkontroller: det, erklæringen forudsætter, at I selv gør
- Sådan læser I erklæringen: type 1 eller 2, perioden, revisors testskema, afvigelserne og konklusionen
- Er underleverandørens kontroller med i erklæringen? De to metoder, standarden tillader
- ISAE 3000 eller ISAE 3402: hvad skal I kræve af leverandøren?
- NIS2-erklæringen fra leverandørens revisor: det, der er offentliggjort, og det, I bør spørge om
- Certifikatet slået op: ægte, akkrediteret, gyldigt, og dækker det jeres leverance?
- SOC 2-rapporten fra en udenlandsk leverandør
- D-mærket hos leverandøren: det, kontrollen bag mærket består af, og det, I ikke kan slutte af det
- Leverandøren vil ikke udlevere dokumentation: indsigt uden kopi
- ISAE 3000-erklæringen om databeskyttelse: hvornår den er nok som tilsyn, og hvornår den skal give høj grad af sikkerhed
- C5-attestationen fra en cloududbyder: den tyske målestok læst af en dansk køber
- Erklæringen er udløbet, og den nye er ikke kommet: ledelsens brev om mellemperioden
- CE-mærket på software ved køb: det, mærket fortæller, og det, det ikke dækker
Auditområder hos leverandøren
- Til- og fratrædelser hos leverandøren: hvem har stadig adgang?
- Leverandørens backup af jeres data: gendannelsen som bevis, og dommen fra 2024
- Hændelseshåndtering og underretning: kontrol af plan, øvelse og faktiske sager
- Kan I få loggen, når det gælder? En afprøvning: bestil et udtræk, mål tiden, vurdér indholdet
- Ændringsstyring hos leverandøren: godkendelse, test og tilbagerulning
- Adskillelse mellem kunder: hvor ligger jeres data, og hvem kan se dem?
- Underleverandører: sådan auditerer I kæden bag leverandøren
- Leverandørens medarbejdere og konsulenter: baggrundstjek, fortrolighed og uddannelse
- Besøget hos leverandøren: de observationer på stedet, der har bevisværdi
- Leverandørens beredskab og driftskontinuitet: planer, øvelser og bevis
- Sårbarhedshåndtering og opdateringer hos leverandøren: frister og sporbarhed
- Hænger sikkerheden på én person? Det, en kunde kan afgøre udefra om leverandørens sikkerhedsledelse
- Fund, der kun opstår mellem kunde og leverandør
Leverandørtyper
- Audit af driftsleverandøren
- Audit af en SaaS-leverandør: lejeradskillelse, administratoradgang, eksport og underleverandører
- Audit af hosting og datacenter
- Audit af softwarehuset, der udvikler til jer
- Audit af løn- og økonomileverandøren
- OT-leverandøren som virksomhed: serviceteknikere, medbragt udstyr og vejen ind til anlægget
- Overvågningstjenesten som leverance: reaktionstid, vagtbemanding, rapportering og afprøvning
- Konsulenter og freelancere med adgang: kontrol af én person
- Leverandører uden IT-leverance, men med adgang til bygning og udstyr
- Audit af en AI-tjeneste: brug af data, logning og underleverandører
- Audit af en udenlandsk leverandør: sprog, afstand og medarbejdere i tredjelande
- Koncernen er jeres IT-leverandør: datterselskabets muligheder uden kontrakt og uden valg
- Betalingsleverandøren: attesten efter kortbranchens standard og fordelingen af krav mellem jer
- Leverandøren er selv omfattet af NIS 2: hvad kunden kan slutte, og hvad kunden kan bede om
- Leverandør til en finansiel virksomhed: den revisions- og inspektionsret, DORA kræver i aftalen
- Udstyr til genbrug og destruktion: audit af leverandøren, der sletter jeres diske
- Webbureauet: den lille leverandør med adgang til hjemmeside, formularer og domæne
Regler, tilsynsmodeller og forsyningskæden
- Databehandlertilsyn og sikkerhedsaudit i ét forløb: fælles besøg, delte beviser, to rapporter
- Revisoren spørger til outsourcet IT: hvad en erklæring kan bruges til i årsrevisionen
- Produkter med digitale elementer: hvad køberen kan se og kræve efter CRA
- Skal I kende hele kæden af underdatabehandlere? Databeskyttelsesrådets udtalelse fra oktober 2024
- Kæden under DORA: de ti betingelser før underentreprise og fristen for indsigelse mod ændringer
- Finanskundens informationsregister: det, kunden skal registrere om jer og jeres underleverandører
- Statens vejledning om cybersikkerhed i leverandørforhold: seks faser, og hvad styringsfasen kræver
- Leverandøren er udpeget som kritisk IKT-tredjepartsudbyder: hvad det ændrer for jeres revisionsret
- Overførsel til tredjelande i databehandleraftalen: den dokumentation, I selv skal have
- Datatilsynets spørgeskema om cloud brugt som jeres egen gennemgang af leverandøren
Fund, rapport og opfølgning
- Rapporten fra en leverandøraudit: opbygning, der virker for begge parter
- Høring af leverandøren og uenighed om fund: faktatjek, før rapporten er endelig
- Handlingsplanen efter auditten: frister, ansvarlige og bevis for lukning
- Leverandøren lukker ikke fundene: opfølgning og eskalering
- Risikoen, I ikke selv kan fjerne: accept af et fund hos leverandøren, og hvad der så genforhandles
- Hvornår er fundene alvorlige nok til at skifte leverandør?
- Ét billede af alle leverandører: samlet rapportering til ledelsen
Leverandørens side af bordet
- Kunden har varslet audit: forberedelsen og selve dagen
- Hvad må kunden se? Grænserne ved andre kunders data, kildekode og interne vurderinger
- Kundeaudits som fast proces: én indgang, faste vilkår og samlede auditdage
- Uvildig audit af jer selv, før kunderne kommer
- Fra ingen dokumentation til den første erklæring: valg af form, systembeskrivelse og ledelsens udtalelse
- Svar på kundernes spørgeskemaer: aldrig ja uden bevis, og samme svar til alle
- Leverandøren fik fund: svar, handlingsplan og indsigelse
- Kunden auditerer jer, men driften ligger hos jeres underleverandør: hvem møder, hvilken adgang, hvilket bevis
- Lille leverandør uden sikkerhedsansvarlig: de få ting, kunden har grund til at se, og hvorfor
- Kundens auditrapport om jer: ejerskab, genbrug over for andre kunder og omtale i salget
- Den årlige status til kunderne, punkt for punkt: det, tilsynsmodellen forudsætter, at I leverer
- I er underleverandør: slutkunden vil auditere jer, men aftalen er med mellemleddet
- Softwarekomponentlisten som bevis i en leverandøraudit
Ændringer og særlige situationer
- Skift af leverandør: kontrolpunkterne i overgangen mellem den gamle og den nye
- Opkøb, ny underleverandør eller flyttet drift: ændringer, der udløser ny audit
- Samme underleverandør bag flere af jeres leverandører: koncentration fundet i erklæringerne
- Exitplanen for en kritisk leverandør: sådan afprøver I den, mens aftalen løber
- Når leverandøren indberetter en aktivt udnyttet sårbarhed: det, I hører, og det, aftalen bør sige
Afgørelser og hændelser brugt som auditprogram
- Nedbruddet i en national login-løsning i 2022: ændringen, backuppen og nødproceduren
- Udviklingsserveren, ingen havde ansvar for: afgørelsen efter en leverandørs opkøb
- Tre afgørelser om software med fejl i drift: spørgsmålene til softwareleverandøren
- Fire tilsyn uden kritik: det, Datatilsynet godkendte som tilsyn med databehandlere i 2022
- Underleverandøren, kunden aldrig godkendte: afgørelsen fra 2019 og reglerne om samtykke
- Kodeændringen, der slog et logintjek fra: databehandleren, totalleverandøren og testen, ingen havde aftalt
- Ransomware hos en autoforhandler: regler, der ingen kontrollerede, og et drev, der skulle være nedlagt
Senest gennemgået: november 2026.
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
Skal en leverandør kontrolleres?
Skriv kort, hvilken leverandør det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Auditten er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
