En audit efter en hændelse hos leverandøren skal svare på tre ting: hvad skete der med jeres data og ydelser, hvorfor kunne det ske, og er det rettet. Den gennemføres på kontraktens grundlag og planlægges, så den ikke spænder ben for leverandørens oprydning.
Hændelsen er en anden virksomheds. Kunden har ingen adgang ud over den, aftalen giver, og det præger hele forløbet.
Hvad kontrakten typisk giver
Statens standardkontrakt K04, der her bruges som model for private aftaler, giver kunden ret til audit med [30] dages varsel. Varslet falder bort, når kunden har et “kvalificeret og underbygget grundlag” for mistanke om, at aftalen ikke bliver overholdt. Samme konstruktion står i Digitaliseringsstyrelsens katalog over kontraktbestemmelser for samfundskritiske systemer fra marts 2022.
En hændelse er ikke i sig selv bevis for misligholdelse. Men en hændelse, der rammer kundens data, eller som afslører, at et aftalt krav ikke var opfyldt, kan give netop det grundlag. Den vurdering er en tolkning af den konkrete aftale.
Ifølge K04 bør auditten desuden genere driften så lidt som muligt. Det gælder i særlig grad, mens leverandøren stadig rydder op.
Er leverandøren databehandler, har I efter databeskyttelsesforordningens artikel 28 ret til revisioner, herunder inspektioner. Datatilsynets skabelon til databehandleraftale lader den dataansvarlige inspicere, når den dataansvarlige finder det nødvendigt.
Hvad kilderne siger om hændelser og kontrol
- Datatilsynet nævner i sin vejledning om tilsyn med databehandlere flere alvorlige sikkerhedsbrud som en grund til højere frekvens, og anbefaler, at man ved den årlige status spørger til brud siden sidste tilsyn.
- Ifølge statens vejledning om leverandørforhold er en væsentlig hændelse en anledning til at se risikovurderingen af forholdet igennem igen.
- Hos udbydere af cloud, hosting og lignende kræver gennemførelsesforordning 2024/2690, at de gennemgår hændelser med leverandørernes tjenester og vurderer behovet for spontane gennemgange. For andre er det en målestok.
- DORA kræver, at aftaler med finansielle enheder beskriver leverandørens bistand ved IKT-hændelser. Det gælder kun finanssektoren, men viser, at bistanden kan aftales på forhånd.
Ingen af kilderne siger, hvornår en audit efter en hændelse bør ligge, eller hvad den skal omfatte. Resten af artiklen er praksis.
Tre faser, tre slags kontrol
Mens hændelsen står på. Her er der sjældent plads til en audit. Kontrollen er løbende information: hvad er ramt, hvad gør leverandøren, hvad skal I selv gøre. Bed om skriftlige statusser med tidspunkt. De bliver bevis senere.
Når driften er genoprettet. Bed om leverandørens egen redegørelse for årsag, omfang og rettelser. Mange leverandører laver den alligevel. Læs den, før I beslutter, om der skal en audit til.
Notér undervejs, hvornår I selv blev orienteret, og af hvem. Jeres egen tidslinje er lige så vigtig som leverandørens, når aftalens frist for underretning skal holdes op mod forløbet.
Når oprydningen er afsluttet. Nu kan en audit efterprøve redegørelsen uden at forstyrre arbejdet. Vent ikke så længe, at sporene er væk. Logs har en opbevaringstid, og folk skifter job.
Det, auditten skal afdække
Omfanget afgrænses til hændelsen og det, den afslørede. Det er fristende at bruge lejligheden til en fuld gennemgang, men en smal audit er lettere at få accepteret og hurtigere at afslutte.
- Hvilke af jeres data og systemer var berørt? · (Leverandørens tidslinje og liste over berørte kunder og systemer, så vidt den angår jer)
- Hvorfor kunne hændelsen ske? · (Årsagsanalyse og de krav i aftalen, der var relevante)
- Hvad er rettet? · (Ændringer med dato, test af at rettelsen virker)
- Blev I underrettet som aftalt? · (Tidspunkter for underretning holdt op mod aftalens frist)
- Kan det samme ske et andet sted? · (Leverandørens vurdering af lignende systemer og underleverandører)
Eksemplerne i parentes er tænkte. Andre kunders data er ikke jeres at se, og leverandøren vil med rette beskytte dem.
Jeres egen del er en anden sag
Hændelsen kan udløse pligter hos jer selv, fx anmeldelse af et brud på persondatasikkerheden eller underretning efter NIS 2. De frister og forløb hører til jeres egen håndtering og er beskrevet under kundens egen sikkerhedsaudit og hændelser. Her handler det om kontrollen med leverandøren.
Fra fund til næste skridt
Viser auditten, at et aftalt krav ikke var opfyldt, er det et spørgsmål om kontraktens regler for afhjælpning og misligholdelse. K04 og statens vejledning om den situation gennemgås i artiklen om brud på aftalen. Uanset udfaldet hører hændelsen med, når leverandørens klasse og interval tages op næste gang, se hvor ofte en leverandør skal auditeres.
Når leverandøren siger nej
Leverandøren kan afvise en audit, mens den er presset, eller henvise til, at hændelsen allerede er undersøgt af andre. Spørg i så fald, hvem der har undersøgt den, med hvilket omfang, og om I kan få rapporten eller et uddrag, der vedrører jeres ydelse. En uafhængig undersøgelse kan dække en del af jeres behov. Får I intet, så notér afslaget, den bestemmelse I henviste til, og datoen. Det bliver grundlaget, når aftalen skal drøftes igen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen giver adgang, at nogen hos jer samler leverandørens statusser, mens hændelsen står på, og at der er tid til at læse redegørelsen kritisk. En klar afgrænsning gør det lettere for begge parter.
Uden kontrol efter hændelsen står I med leverandørens egen forklaring som eneste bevis. Ved næste hændelse kan I ikke vise, at I fulgte op.
Det skal I lade være med
- At kræve audit midt i oprydningen · det forsinker genopretningen og giver dårligt bevis.
- At bede om andre kunders oplysninger · omfanget er jeres data og jeres ydelser.
- At lade redegørelsen stå uprøvet · den er leverandørens egen fremstilling.
Det skal auditten kunne vise
- ☐ Leverandørens skriftlige statusser under hændelsen med tidspunkter.
- ☐ Den bestemmelse i aftalen, auditten blev gennemført efter.
- ☐ Leverandørens redegørelse og jeres vurdering af den.
- ☐ Bevis for de rettelser, der vedrører jeres ydelse.
- ☐ Opdateret risikovurdering af leverandørforholdet.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, afsnit 4.1.5, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 4 og 5, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.4, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilagets punkt 5.1.7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, litra f, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den bestemmelse i jeres vigtigste aftale, der giver adgang til audit uden varsel, og læs, hvad der kræves for at bruge den.
Læs også: Ingen revisionsret i aftalen · Hvem betaler for auditten?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
