Når en aftale ophører, bekræfter leverandøren typisk skriftligt, at jeres data er slettet eller leveret tilbage. En audit ved ophør efterprøver, at bekræftelsen passer, ved at holde den op mod stikprøver i data, backup, underleverandører og adgange.
Ingen regel kræver stikprøver ved ophør. Det er praksis. Til gengæld gør flere regelsæt ophøret til et punkt, aftalen skal dække, og det giver jer noget at kontrollere imod.
Hvad reglerne gør til et aftalepunkt
Er leverandøren databehandler, skal databehandleraftalen efter databeskyttelsesforordningens artikel 28, stk. 3, litra g, fastsætte, at databehandleren efter jeres valg sletter eller tilbageleverer alle personoplysninger, når ydelsen ophører, og sletter eksisterende kopier. Datatilsynets skabelon har to valg i bestemmelse 11. Enten sletter databehandleren og bekræfter over for jer, at det er sket, eller også leverer den tilbage og sletter kopierne.
For de digitale tjenesteudbydere, der er omfattet af gennemførelsesforordning 2024/2690, angiver kontrakterne, hvor det er relevant, forpligtelser ved ophør som indhentning og sletning af oplysninger. NIS 2-vejledningen fra Styrelsen for Samfundssikkerhed nævner udlevering og bortskaffelse af data ved ophør som eksempel på aftaleindhold. DORA kræver af finansielle virksomheder, at alle IKT-aftaler sikrer adgang til og tilbagesendelse af data ved leverandørens insolvens, afvikling eller ved opsigelse. For andre virksomheder er de tre regelsæt en målestok.
Hvad statens vejledning anbefaler
Statens vejledning om cybersikkerhed i leverandørforhold har et afsnit om afslutningen. Ophørsbestemmelserne bør mindst omfatte en komplet liste over kundens aktiver hos leverandøren, inklusive backup, og procedurer for tilbagelevering, overdragelse eller bortskaffelse. Procedurerne bør sige, hvilket format data leveres i, hvordan det dokumenteres og verificeres, at alt er med, og hvordan overførsel og sletning sker sikkert.
Vejledningen anbefaler også, at kunden rettidigt fjerner alle leverandørens fysiske og logiske adgange. Den nævner selv, at det kan være en udfordring at verificere sletning af kundens data hos leverandøren. Det er netop den opgave, en audit ved ophør løser.
Hvornår kontrollen lægges
Kontrollen ved ophør har to tidspunkter. Det første ligger, før aftalen udløber. Her gennemgås listen over aktiver, og I aftaler, hvilken dokumentation leverandøren skal aflevere, og hvornår. Det andet ligger efter, at den sidste backup med jeres data er udløbet. Først da kan sletningen kontrolleres fuldt ud.
Mellem de to tidspunkter har leverandøren ikke længere en løbende aftale med jer. Det taler for at skrive kontrollen ind i selve ophørsbestemmelserne, mens aftalen stadig løber. Det er vores vurdering. Bestemmelser, der skal gælde efter ophør, som tavshedspligt og retten til at kontrollere sletning, bør udtrykkeligt overleve aftalen.
Fire områder til stikprøver
Ud fra vejledningens liste kan kontrollen deles i fire områder. Inddelingen og metoden er vores forslag.
Data i drift. Bed om en oversigt over de systemer, databaser og lagre, hvor jeres data lå, og vælg et par stykker. Leverandøren viser, at de er slettet eller tømt, fx ved en søgning på jeres kundenummer eller ved at vise, at miljøet er nedlagt.
Backup. Her er det rotationen, der tæller. Backup slettes sjældent på dagen, men udløber efter en aftalt periode. Bed om backupplanen og datoen, hvor den sidste kopi med jeres data udløber, og kontrollér bagefter, at den er udløbet.
Underleverandører. Leverandørens bekræftelse dækker kun jeres data hos underleverandørerne, hvis den siger det. Bed om dokumentation for sletning hos hver underleverandør, der havde jeres data.
Adgange. Kontrollér begge veje. Leverandørens konti hos jer bør være lukket, og jeres brugere hos leverandøren bør være nedlagt. Fjernadgange, servicekonti og delte nøgler glemmes oftest.
Logs, der skal blive
Ikke alt skal slettes. Energistyrelsens vejledning giver virksomheder i energisektoren på niveau 4 og 5 en opbevaringsperiode for logs på 13 måneder, og de skal kunne få fat i loggene, når en aftale slutter. Statens katalog over kontraktbestemmelser for samfundskritiske it-systemer har samme periode som model. Kontrollen ved ophør bør derfor også vise, at de logs, I selv skal kunne bruge, er leveret til jer, før leverandørens kopi slettes.
Når leverandøren ikke vil
Datatilsynet traf den 7. februar 2022 en afgørelse om en tidligere underdatabehandler, der afviste at give en dataansvarlig sine kundedata tilbage, fordi den kun havde aftale med databehandleren. Datatilsynet fastslog, at to databehandlere ikke indbyrdes kan aftale sig ud af den oprindelige dataansvarliges instruks. Resultatet blev alvorlig kritik, et påbud om udlevering og et forbud mod at behandle oplysningerne videre.
Sagen handlede om tilbagelevering og ikke om en audit. Den viser, at kæden af aftaler ikke fjerner jeres instruks, og at et ophør kan ende i en tvist, hvis det ikke er planlagt.
Selve planen for ophør og overgangen til en ny leverandør er beskrevet under skift af leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at listen over jeres aktiver hos leverandøren findes, før aftalen ophører, og at retten til kontrol ved ophør står i aftalen. Kontrollen bør planlægges, mens leverandøren stadig har en interesse i at samarbejde.
Uden kontrol har I en attest og ingen viden. Dukker jeres data op hos leverandøren eller en underleverandør senere, er det jer, der som dataansvarlige skal forklare, hvorfor sletningen ikke blev kontrolleret.
Det skal I lade være med
- At tage imod en sletteattest uden at spørge til backup · kopierne udløber typisk senere.
- At glemme underleverandørerne · attesten dækker dem kun, hvis den siger det.
- At lukke adgange i den ene retning · leverandørens konti hos jer bør også nedlægges.
Det skal auditten kunne vise
- ☐ Listen over jeres aktiver hos leverandøren, inklusive backup.
- ☐ Leverandørens skriftlige bekræftelse af sletning eller tilbagelevering.
- ☐ Resultatet af stikprøverne i drift, backup og hos underleverandører.
- ☐ Dato for udløb af sidste backup med jeres data.
- ☐ Dokumentation for lukkede adgange begge veje.
Kilder
- Forordning (EU) 2016/679, artikel 28, stk. 3, litra g, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 11, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 5.1.4, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kapitel 4, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.3 og 6.1, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1 af 6. juli 2026, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, punkt 1.10.4, læst 12. november 2026.
- Datatilsynet, afgørelse af 7. februar 2022, j.nr. 2022-431-0167, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den aftale, der udløber først, og bed leverandøren om listen over jeres aktiver, inklusive backup, nu.
Læs også: Leverandørens backup af jeres data · Til- og fratrædelser hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
