En audit af en hostingleverandør skal dække det, leverandøren har ansvaret for, og kun det. Første skridt er derfor at trække grænsen: Lejer I plads til egne servere, får I virtuelle maskiner, eller driver leverandøren også styresystemer og applikationer? Svaret afgør, om auditten handler om bygning og forsyninger, om platformen eller om mere end det.
Hosting dækker mange forskellige aftaler. Det samme ord kan betyde et rack i et datacenter og en fuldt administreret server.
Grænsen følger servicemodellen
Datatilsynet beskriver i sin vejledning om cloud tre servicemodeller. Ved infrastruktur som tjeneste, IaaS, har kunden selv ansvaret for styresystemer, netværk, lagring og applikationer, mens leverandøren har ansvaret for den underliggende infrastruktur. Ved PaaS og SaaS flytter mere af ansvaret over til leverandøren.
Det giver en tommelfingerregel for auditten. Den skal følge den ansvarsfordeling, der er aftalt. Det er vores tolkning af vejledningen og ikke et krav i den. Har I selv ansvaret for styresystemet, er det ikke leverandørens opdateringer, I skal kontrollere. Så er det jeres egne.
Tabellen viser grænsen i tre typiske aftaleformer. Den er en forenkling.
- Plads i datacenter · Leverandørens ansvar: Bygning, strøm, køling, fysisk adgang, net til jeres udstyr · Hvad auditten dækker: Fysisk sikring, forsyninger, adgangskontrol
- Virtuelle servere · Leverandørens ansvar: Det ovenstående plus virtualiseringsplatform, lager og backup af platformen · Hvad auditten dækker: Også adskillelse mellem kunder og platformens drift
- Administreret hosting · Leverandørens ansvar: Det ovenstående plus styresystem og evt. opdateringer og backup af jeres data · Hvad auditten dækker: Også ændringer, opdateringer og gendannelse
Er leverandøren selv omfattet?
Udbydere af cloudcomputing og datacentre er omfattet af gennemførelsesforordning (EU) 2024/2690, jf. dens artikel 1. Bilagets punkt 13 stiller krav til forsyninger, miljøkontrol og fysisk adgang.
Digitaliseringsstyrelsens spørgsmål og svar om NIS 2 siger, at webhosting alene ikke er omfattet af NIS 2-loven. Mange webhostingudbydere udbyder dog også cloud- eller datacentertjenester, der er omfattet. Spørg derfor leverandøren, om den selv er omfattet, og for hvilke ydelser. Hvad I kan slutte af svaret, er beskrevet under leverandøren er selv omfattet af NIS 2.
Er leverandøren ikke omfattet, kan punkt 13 stadig bruges som målestok for, hvilke områder auditten dækker. Det er en målestok, I vælger, og ikke et krav til leverandøren.
Kontrolpunkterne
Kontrolpunkterne er praksis. Brug dem, der passer til jeres aftaleform.
Bygning og forsyninger. Strømforsyning og nødstrøm, køling, brandsikring og overvågning af lokalerne. Bed om dokumentation for, hvornår nødstrømmen sidst blev afprøvet.
Fysisk adgang. Hvem kan komme ind til jeres udstyr, og hvordan registreres det? Bed om et udtræk af adgangsloggen for en uge. Hvordan et besøg dokumenteres, står under besøget hos leverandøren.
Platformen. Ved virtuelle servere: hvordan holdes kunderne adskilt, hvem administrerer platformen, og hvordan opdateres den?
Backup. Hvad tager leverandøren backup af, og hvad er jeres eget ansvar? Ved IaaS ligger backup af jeres data efter servicemodellen som udgangspunkt hos jer, medmindre den er købt som tillæg. Bekræft, hvad aftalen siger.
Underleverandører. Ejer leverandøren selv datacentret, eller lejer den plads hos en anden? Bed om listen og om dokumentation for det tilsyn, leverandøren fører.
Erklæringer og certifikater. Mange hostingleverandører har en erklæring eller et certifikat. Se efter, om omfanget dækker det datacenter og den ydelse, I bruger.
Den dag, I flytter
En hostingaftale slutter med en flytning. Det er værd at kontrollere, før den dag kommer. Spørg, hvordan jeres virtuelle servere eller data udleveres, i hvilket format, og hvor lang tid det tager. Spørg også, hvordan leverandøren sletter jeres data bagefter, og hvilken bekræftelse I får. Har I eget udstyr i et datacenter, så spørg, hvem der må hente det, og hvordan diske, der skal kasseres, håndteres.
Svarene hører hjemme i auditten, fordi de er svære at forhandle, når aftalen allerede er sagt op. Kontrollen ved ophøret er beskrevet under audit ved kontraktophør.
Når der er flere led
Hostingleverandøren er ofte selv kunde hos en anden. En leverandør af administreret hosting kan leje plads i et datacenter, som ejes af en tredje virksomhed. Så er der tre parter: jer, hostingleverandøren og datacentret.
Et tænkt eksempel: Jeres hostingleverandør fremviser en erklæring, der dækker dens egen drift. Datacentret er udeladt af erklæringen. Bygning, strøm og fysisk adgang er derfor ikke testet af revisor. Det er de punkter, I enten må spørge datacentret om gennem leverandøren eller få belyst på et besøg.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftaleformen og ansvarsfordelingen er skrevet ned, og at I ved, hvilke af kontrolpunkterne der er jeres egne. Derefter kan en stor del af kontrollen bygge på leverandørens dokumentation og eventuelt et besøg.
Uden en klar grænse kontrollerer I enten det forkerte eller ingenting. Problemer med hosting kan opstå netop der, hvor ingen af parterne troede, at opgaven var deres.
Det skal I lade være med
- At auditere leverandøren for opgaver, I selv har · følg ansvarsfordelingen.
- At gå ud fra, at backup af jeres data er med · bekræft det i aftalen.
- At overse datacentret bag hostingleverandøren · det er ofte et selvstændigt led.
Det skal auditten kunne vise
- ☐ Aftaleform og den skriftlige ansvarsfordeling.
- ☐ Om leverandøren selv er omfattet af forordning 2024/2690, og for hvilke ydelser.
- ☐ Dokumentation for forsyninger, nødstrøm og fysisk adgang.
- ☐ Hvem der har ansvaret for backup af jeres data, og bevis for gendannelse, hvis det er leverandøren.
- ☐ Liste over underleverandører, herunder datacentret.
- ☐ Erklæringens eller certifikatets omfang holdt op mod jeres ydelse.
Kilder
- Datatilsynet, Vejledning om cloud, marts 2022, kap. 2, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilag punkt 13, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ansvarsfordelingen for jeres hostingaftale ned i tre kolonner: leverandørens, jeres og uafklaret.
Læs også: Underleverandører · Certifikatet slået op
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
