Hos en stor standardleverandør består kontrollen for en lille kunde typisk i at læse leverandørens egne revisionsrapporter grundigt og holde dem op mod det, I faktisk bruger. En egentlig audit hos leverandøren er sjældent realistisk, og Datatilsynet siger selv, at rapporterne normalt er tilstrækkelige, når de dækker jeres behandling.
Opgaven flytter sig derfor fra at undersøge leverandøren til at læse præcist og kende jeres egen halvdel af ansvaret.
Styrkeforholdet er udgangspunktet
Statens vejledning “Cybersikkerhed i leverandørforhold” har en figur med fire scenarier efter kundens og leverandørens størrelse. I scenariet med en lille kunde og en stor leverandør har kunden lav prioritet hos leverandøren, det er vanskeligt at stille særlige krav og styre leverandøren, og risikoen for leverandørlåsning er til stede. Fordelen er, at den store leverandør har flere dokumenterede processer. Vejledningen kalder selv figuren et forsimplet overblik.
Datatilsynets vejledning om cloud siger det samme fra databeskyttelsens side. Tilsynet forstår, at mange cloudtjenester er standardiserede, og at kunden som regel har begrænsede muligheder for at tilpasse dem.
Der er altså ingen forhandling om særlige vilkår og sjældent et besøg. Det, der er tilbage, er dokumentation.
Når rapporterne er nok
Datatilsynets vejledning om cloud skriver om cloudleverandører, at de sædvanligvis har procedurer for og får gennemført revisioner af uafhængige tredjemænd. Det vil normalt være tilstrækkeligt, at den dataansvarlige gennemgår de revisionsrapporter, som cloudleverandøren årligt får udarbejdet.
Samme afsnit stiller en betingelse. I skal være opmærksomme på, i hvilket omfang rapporten dækker de behandlinger, I har overladt til leverandøren. Gør den ikke det, skal I sikre jer, at aftalen giver ret til at kræve en revision med et andet omfang eller en anden metode.
Tilsynet anerkender også, at mange cloudleverandører har passende eller endda mere end passende sikkerhed. Opgaven er da at verificere, at det er tilfældet, og dokumentere vurderingen.
Vejledningen handler om databeskyttelse. At bruge samme fremgangsmåde for andre ydelser er en analogi, men den passer på de fleste standardleverancer.
Sådan læses rapporten mod jeres brug
Fire spørgsmål afgør, om rapporten dækker jer. Spørgsmålene er vores sammenfatning af kravene ovenfor og af DORA’s betingelser nedenfor.
- Omfang. Er de tjenester, I bruger, med i rapporten? Store leverandører har mange produkter, og rapporten kan dække nogle af dem.
- Placering. Er de datacentre eller regioner, jeres data ligger i, med?
- Periode. Dækker rapporten en periode, der ligger tæt på i dag? En rapport, der sluttede for længe siden, siger mindre om nu.
- Jeres egen del. Hvilke kontroller forudsætter rapporten, at I selv udfører? Den del er jeres ansvar og bør kunne dokumenteres hos jer.
Hvordan undtagelser og afvigelser læses, er et emne for sig. Det vigtigste her er, at en rapport kun er tilsyn, når den er læst mod jeres brug.
Hvad DORA viser om grænserne
DORA gælder for finansielle enheder og ikke for andre. Men den delegerede forordning 2024/1773 beskriver præcist, hvornår en finansiel enhed må bruge leverandørens rapporter og certificeringer i stedet for egen revision. Det er en god målestok for enhver kunde.
Enheden må ikke over tid udelukkende forlade sig på dem. Rapporterne må kun bruges, hvis bl.a. omfanget dækker de relevante systemer og centrale kontroller, rapporterne ikke er forældede, revisionsvirksomheden er egnet, og revisionen omfatter en test af, om de centrale kontroller virker. Enheden skal desuden have kontraktlig ret til at bede om et ændret omfang.
DORA artikel 30 indeholder også en ret til at aftale alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes. Det kan læses som en erkendelse af, at en stor leverandør ikke kan åbne dørene for alle kunder på én gang.
Hvis I er databehandlerens kunde
Er den store leverandør databehandler, giver artikel 28 i databeskyttelsesforordningen jer en ret til revision, uanset størrelsesforholdet. Databeskyttelsesrådet (EDPB) skriver i sine retningslinjer, at gebyrer for revision ikke må være så uforholdsmæssige, at retten bliver teoretisk.
Retten er der. Om den er værd at bruge, afhænger af, om rapporterne dækker jer. En nyttig brug af retten kan være at anfægte omfanget af den eksisterende rapport og bede om et tillæg for netop jeres tjeneste.
Når rapporten ikke rækker
Dækker rapporten ikke jeres brug, og vil leverandøren ikke udvide den, har I tre veje. I kan dokumentere den resterende risiko og få den accepteret af ledelsen. I kan flytte den del af brugen, der ikke er dækket, til en tjeneste, der er. Eller I kan bruge fornyelsen til at overveje en anden leverandør.
Fælles krav fra flere kunder kan veje tungere end én kundes, se fælles audit. Er det modsatte jeres situation, står fremgangsmåden over for mindre leverandører i audit af den lille leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at rapporten hentes hvert år, at nogen kender jeres brug godt nok til at se, om den er dækket, og at jeres egne kontroller er dokumenteret. Læsningen er det egentlige tilsyn.
Uden læsning er rapporten et dokument i en mappe. Ved en hændelse eller et tilsyn kan I ikke vise, at I vidste, hvad den dækkede.
Det skal I lade være med
- At antage, at en rapport dækker hele leverandøren · omfanget er afgrænset til bestemte tjenester og steder.
- At bruge kræfter på at forhandle et besøg · læs rapporten først, og brug retten til at udvide omfanget.
- At glemme de kontroller, rapporten lægger hos jer · de er jeres del af ansvaret.
Det skal auditten kunne vise
- ☐ Den seneste rapport fra leverandøren med periode og omfang.
- ☐ En kortlægning af jeres brug holdt op mod rapportens omfang.
- ☐ Dokumentation for de kontroller, rapporten forudsætter hos jer.
- ☐ Ledelsens accept af den risiko, rapporten ikke dækker.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, figur 4, s. 19, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 1, 3.1.2 og 3.3.3, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 3, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 145, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Hent den seneste revisionsrapport fra jeres største cloudleverandør, og skriv de tjenester op, I bruger, som den ikke nævner.
Læs også: Ingen revisionsret i aftalen · Hvor ofte skal en leverandør auditeres?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
