En lille leverandør skal kontrolleres på det, der kan gå galt hos netop den: adgang til jeres data, backup, afhængighed af få personer og risikoen for, at virksomheden lukker eller skifter ejer. Formen tilpasses størrelsen, så kontrollen kan gennemføres uden en erklæring eller et stort dokumentationsapparat. Det væsentlige bliver stående.
Kunden har ofte en stærk position over for en lille leverandør. Den kan bruges til at få den kontrol, der er brug for, uden at kræve papirer, som en virksomhed med fem ansatte ikke har.
Hvad der er anderledes ved en lille leverandør
Statens vejledning “Cybersikkerhed i leverandørforhold” beskriver forholdet i sin figur over størrelsesscenarier. Hos en lille leverandør har kunden god mulighed for at stille særlige krav og bliver prioriteret. Til gengæld har den lille leverandør færre dokumenterede processer og procedurer, og der er en risiko for konkurs eller ejerskifte. Vejledningen kalder figuren et forsimplet overblik, men billedet genkendes.
Samme vejledning nævner økonomi og ejerforhold som forhold, der vurderes ved leverandørvalget.
Det betyder, at en audit hos en lille leverandør sjældent kan bygge på en erklæring fra en revisor. Den bygger på samtale, observation og stikprøver.
Forholdsmæssighed med kilde
Flere regelsæt taler om proportionalitet. Ingen af dem gælder direkte for en almindelig privat kunde, men de viser tanken.
- Styrelsen for Samfundssikkerheds vejledning til NIS 2-omfattede virksomheder anbefaler en risikobaseret og proportional tilgang til leverandørstyring for at undgå unødigt høje krav.
- Gennemførelsesforordning 2024/2690 lader bl.a. cloud- og hostingudbydere fravælge krav, der gælder “hvor det er relevant”, med en dokumenteret begrundelse, og de tager hensyn til størrelse og risiko.
- DORA lader finansielle enheder, der selv er mikrovirksomheder, aftale, at retten til adgang, inspektion og revision udøves af en uafhængig tredjepart, som leverandøren udpeger. Det gælder kun finanssektoren.
Fællesnævneren er, at kravene skal stå mål med risikoen, og at fravalg skal begrundes.
Datatilsynets lettere koncepter
For databehandlere giver Datatilsynets vejledning om tilsyn med databehandlere to lette muligheder. Databehandleren kan bekræfte, helst skriftligt, at alle krav i aftalen stadig efterleves. Eller databehandleren kan give en skriftlig status hvert år, der dækker alle behandlinger, underdatabehandlere og særlige aftalte krav, hvor man spørger ind, beder om dokumentation eller tager stikprøver.
Ved lav risiko for de registrerede kan det være nok. Tilbyder databehandleren ikke det, konceptet kræver, kan man enten kræve det eller gå et niveau op.
Det væsentlige, der ikke slækkes på
Tilpasningen af formen er vores praksis. Det, der bliver stående, er de forhold, der typisk afgør, om en lille leverandør kan levere sikkert. Listen er et udgangspunkt.
- Adgang til jeres data · Hvad I kontrollerer: Hvem hos leverandøren har adgang, og hvordan logger de på · Bevis, der er realistisk: (Liste over navngivne brugere og flerfaktor slået til, vist på skærm)
- Backup · Hvad I kontrollerer: Om jeres data kan gendannes · Bevis, der er realistisk: (Gendannelse af en tilfældig fil, udført mens I ser på)
- Personafhængighed · Hvad I kontrollerer: Hvad der sker, hvis nøglepersonen er væk · Bevis, der er realistisk: (Navn på stedfortræder og hvor adgangskoder opbevares)
- Underleverandører · Hvad I kontrollerer: Hvem leverandøren selv bruger · Bevis, der er realistisk: (Liste med hosting og andre tjenester)
- Fortsat drift · Hvad I kontrollerer: Hvad der sker ved lukning eller salg · Bevis, der er realistisk: (Aftalens ophørsvilkår og hvor jeres data ligger)
Eksemplerne i parentes er tænkte. De kræver ikke dokumenter, der skal skrives til lejligheden.
Formen: kort, på stedet eller på skærm
En audit hos en lille leverandør kan holdes kort, enten på stedet eller over en videoforbindelse, hvor leverandøren viser skærmen. Send en kort liste over de forhold, I vil se, et par uger før. Bed om at se tingene i drift frem for skrevne beskrivelser af dem.
Leverandørens egen side af den sag er beskrevet i lille leverandør uden sikkerhedsansvarlig. Det er værd at læse, fordi det viser, hvad leverandøren regner med at blive spurgt om.
Brug kontrakten, mens I kan
Fordi I har en stærk position, er det lettere at få revisionsret, underretningspligt og ophørsvilkår ind i aftalen med en lille leverandør. Gør det ved første kontrakt. Retten bliver måske sjældent brugt. Den skal stå i aftalen den dag, I får brug for den. Klausulens dele er beskrevet i artiklen om revisionsret.
Efter besøget
Skriv resultatet ned samme dag, mens detaljerne er friske. En lille leverandør har sjældent en formel proces for at modtage fund, så send dem i en kort mail med det, I så, det, I mangler, og en dato for svar. Hold antallet nede. Tre konkrete punkter bliver typisk rettet, mens en lang liste let bliver liggende.
Følg op ved næste kontakt, fx når kontrakten gennemgås. Har leverandøren rettet, så bed om at se det på samme måde som ved besøget. Er der ikke sket noget, er det et forhold, der hører med, når leverandøren næste gang placeres på jeres liste. En lille leverandør, der reagerer hurtigt på fund, kan være lettere at styre end en stor, der ikke reagerer.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort liste over de forhold, der betyder noget for jer, et kort møde hos leverandøren og en note om, hvad I så. Kravene skal kunne forklares, så leverandøren forstår, hvorfor de stilles.
Stiller I en stor virksomheds krav til en lille leverandør, får I afslag eller papirer, der er skrevet til lejligheden. Stiller I ingen krav, opdager I personafhængigheden, når personen er væk.
Det skal I lade være med
- At kræve en revisorerklæring af en leverandør med få ansatte · bed om at se tingene i drift.
- At springe backup og adgang over, fordi leverandøren er lille · det er dér, risikoen sidder.
- At glemme ophør og ejerskifte · de er de små leverandørers særlige risiko ifølge statens vejledning.
Det skal auditten kunne vise
- ☐ En kort liste over de forhold, der blev kontrolleret, med begrundelse.
- ☐ Observationer med dato, fx en gendannelse, I overværede.
- ☐ Navne på leverandørens nøglepersoner og stedfortrædere.
- ☐ Aftalens vilkår om ophør, ejerskifte og jeres data.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 3.1 og figur 4, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 2, stk. 2, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 2 og 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg jeres mindste leverandør med adgang til data, og skriv de fem forhold i tabellen op med det bevis, I vil bede om.
Læs også: Audit af en leverandør, der er langt større end jer · Webbureauet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
