En audit af en IT-driftsleverandør skal tage udgangspunkt i den adgang, leverandøren har. En leverandør, der administrerer jeres servere, netværk, backup og brugere, har nøglerne til det hele. Auditten handler derfor først om, hvordan den adgang styres, beskyttes og kontrolleres, og dernæst om de enkelte driftsopgaver.
Det adskiller driftsleverandøren fra de fleste andre leverandørtyper. En fejl eller et angreb hos den kan ramme hele miljøet på én gang.
Hvorfor driftsleverandører er et mål
Center for Cybersikkerhed vurderede i en trusselsvurdering fra november 2020, at cyberangreb mod it-serviceudbydere udgør en alvorlig og vedvarende trussel. Vurderingen pegede på, at udbydernes legitime, nødvendige og ofte særlige adgang til kundernes systemer gør dem til attraktive mål. Angreb mod dem kaldes i vurderingen en særlig alvorlig form for leverandørtrussel. Udbyderne omfatter efter vurderingen både hostingudbydere og leverandører, der står for drift og support af kundens infrastruktur, herunder backup, patching og overvågning af netværket.
Vurderingen er fra 2020. Den viser, hvorfor adgangen er kernen i auditten. Den er ikke en aktuel vurdering af truslen.
Hvad en driftskontrakt kan give jer
Statens standardkontrakt K04 er skrevet til drift og er en model for, hvad en kontrakt kan indeholde. Den er udarbejdet til offentlige kunder og binder kun, hvis parterne har valgt den. Private kan bruge den som inspiration.
K04’s mekanismer er værd at kende:
- Leverandøren lader mindst én gang om året en ekstern statsautoriseret revisor, som leverandøren selv udpeger, revidere ydelserne, også hos underleverandører, og sender erklæringen til kunden inden for 10 arbejdsdage (punkt 15).
- Kunden har ret til at lade en audit gennemføre med 30 dages varsel og uden varsel, hvis kunden har en velbegrundet mistanke om, at kontrakten ikke bliver opfyldt. Auditørerne skal være eksterne og uvildige og må ikke være leverandørens konkurrenter, og leverandøren skal give dem adgang til systemets data (punkt 16).
- Leverandøren hæfter for underleverandørers ydelser, som om den selv havde udført dem, og må ikke bruge andre underleverandører end de aftalte uden kundens samtykke (punkt 10).
Tallene står i skarpe parenteser og er pladsholdere, parterne udfylder. Hvordan punkt 15 og 16 hænger sammen, er beskrevet under K04’s revisionsbestemmelser.
Kontrolpunkterne for typen
Kontrolpunkterne her er praksis, afledt af kilderne. De er ikke en udtømmende liste.
- Leverandørens adgang til jer · Hvem har administratoradgang, hvordan logges der ind, og hvordan beskyttes adgangen
- Leverandørens egne systemer · Hvordan de værktøjer, der bruges til at administrere jer, er beskyttet
- Fælles værktøjer · Om samme fjernadgangs- eller administrationsværktøj bruges til alle kunder
- Backup og gendannelse · Seneste gendannelsestest af jeres data
- Opdateringer · Rettefrister og en stikprøve af sager
- Overvågning · Hvem der ser alarmer om jeres miljø, og hvad der sker bagefter
- Underleverandører · Hvem leverandøren selv bruger, og hvordan de kontrolleres
Punkt to og tre er de særlige for typen. Leverandørens egne systemer er vejen ind til alle dens kunder. Trusselsvurderingen fra 2020 beskriver netop, at adgangen hos udbyderen er det, der gør den interessant for en angriber.
Erklæringen og jeres egne spørgsmål
Mange driftsleverandører har en revisorerklæring. Den er skrevet til alle leverandørens kunder og dækker ikke nødvendigvis de særlige krav i jeres aftale. Læg tabellen ovenfor ved siden af erklæringens kontrolmål, og sæt kryds ved de områder, erklæringen dækker. Resten er jeres egne spørgsmål.
Et tænkt eksempel: Erklæringen dækker adgangsstyring, backup og ændringer. Den siger intet om det fælles fjernadgangsværktøj, og underleverandøren til overvågning er udeladt. De to punkter bliver kernen i jeres egen gennemgang, mens resten kan bygge på erklæringen.
Ansvaret bliver hos jer
For en NIS 2-omfattet kunde gør myndighedens vejledning om hændelsesunderretning det klart, at outsourcet drift ikke flytter pligten til at underrette i tide. Den ligger fortsat hos enheden. Efter vores læsning gælder samme tankegang for foranstaltningerne i øvrigt: driftsleverandøren udfører opgaven, mens ansvaret bliver hos jer. Det er en tolkning.
For auditten betyder det, at I skal kunne vise, hvad I har kontrolleret hos leverandøren, og hvad resultatet var. En erklæring alene viser, hvad revisor har set. Den viser ikke, hvad I selv har gjort med den.
Den tekniske efterprøvning
Mange af kontrolpunkterne ovenfor har en teknisk side: konfiguration af konti, logopsætning, opdateringsniveau. Den tekniske efterprøvning af de punkter er beskrevet under tekniske kontrolpunkter. En leverandøraudit kan kombineres med en teknisk gennemgang, men de to er forskellige opgaver. Her handler det om, hvad kunden kan kræve dokumenteret, og hvordan det efterprøves gennem leverandøren.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontrakt med revisionsret og ret til oplysninger, en liste over de områder, der er vigtigst for jer, og tid til en årlig gennemgang. Hos en driftsleverandør med en revisorerklæring kan en stor del af grundlaget komme fra erklæringen, mens I selv supplerer med det, den ikke dækker.
Uden kontrol har I overdraget nøglerne til hele miljøet uden at vide, hvordan de opbevares. Et angreb på leverandøren bliver så et angreb på jer.
Det skal I lade være med
- At behandle driftsleverandøren som enhver anden leverandør · adgangen er større, og det skal kontrollen afspejle.
- At glemme leverandørens egne administrationsværktøjer · de er vejen ind til alle kunder.
- At gå ud fra, at erklæringen dækker jeres særlige krav · se, hvad den udelader.
Det skal auditten kunne vise
- ☐ Kontraktens revisionsret og ret til oplysninger.
- ☐ Liste over personer med administratoradgang og deres adgangsform.
- ☐ Beskrivelse af leverandørens egne administrationsværktøjer og deres beskyttelse.
- ☐ Erklæringen og en gennemgang af, hvad den dækker og udelader.
- ☐ Gendannelsestest, rettefrister og overvågning for jeres miljø.
- ☐ Liste over leverandørens underleverandører.
Kilder
- Center for Cybersikkerhed, Cybertruslen mod it-serviceudbydere, 1. udgave november 2020, s. 3-4, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 10, 15 og 16, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kap. 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed driftsleverandøren om en liste over, hvem der har administratoradgang til jeres miljø, og hvordan de logger ind.
Læs også: Leverandørens backup af jeres data · Overvågningstjenesten som leverance
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
