Auditkriterierne er den målestok, leverandøren holdes op imod. Det, leverandøren har forpligtet sig til, står i aftalen og dens bilag. Andre målestokke, som jeres egne politikker eller en anerkendt standard, kan bruges, men så skal parterne være enige om dem, og et fund mod dem vejer anderledes end et fund mod aftalen.
Valget af kriterier afgør derfor, hvad rapporten kan bruges til bagefter. Et fund mod kontrakten kan føre til et krav. Et fund mod en standard, aftalen ikke nævner, fører til en drøftelse.
Kontrakten som første målestok
I statens vejledning om leverandørforhold er udgangspunktet, at kunden altid styrer leverandøren ud fra kontrakten og bruger en risikovurdering til at vælge, hvilke af sikkerhedskravene der er mest relevante at kontrollere. For persondata peger Datatilsynet på databehandleraftalen som rammen for tilsynet.
Begge kilder peger samme vej. Kriterierne findes først i det, I har aftalt. At kun kontrakten binder leverandøren, er vores tolkning af den praktiske situation og ikke en juridisk regel. Aftaler kan henvise til standarder, og så bliver standarden en del af det aftalte.
Kontrakten er kun en god målestok, hvis kravene er konkrete. Statens vejledning advarer mod krav som “tilstrækkelig logning” og ord som regelmæssigt og periodisk, fordi de efterlader for stort et skøn. Et vagt krav giver et vagt fund. Hvordan kravene skrives, så de kan afgøres, er beskrevet under sikkerhedsbilaget som auditgrundlag.
Tre slags kriterier
Når kontraktens krav er for tynde, kan de suppleres med andre målestokke. Man kan skelne mellem tre. Inddelingen er vores egen.
- Aftalen og bilagene · Hvad det binder: Leverandøren efter kontrakten · Hvad et fund betyder: Et muligt brud, der kan kræves rettet · Tænkt eksempel: (Backup skal testes kvartalsvis efter bilag 14)
- Jeres egne krav · Hvad det binder: Jer selv, og leverandøren kun hvis det er aftalt · Hvad et fund betyder: En afvigelse fra jeres forventning · Tænkt eksempel: (Jeres politik om tofaktor på alle administratorkonti)
- Anerkendt ramme · Hvad det binder: Ingen af parterne, medmindre aftalen henviser til den · Hvad et fund betyder: En observation, der kan drøftes · Tænkt eksempel: (Et kontrolpunkt i ISO 27002)
Hvor anerkendte rammer kommer ind
Statens vejledning anbefaler ISO/IEC 27001 og 27002 som et udgangspunkt, når kunden formulerer sine sikkerhedskrav. K04, statens standardkontrakt for it-drift, accepterer i bilag 4.e et gyldigt certifikat efter ISO 27001 som dokumentation for leverandørens ledelsessystem, men kun i det omfang certificeringen beviseligt omfatter det, kunden har krævet. Statens katalog over kontraktbestemmelser for samfundskritiske systemer har en bestemmelse om et ledelsessystem efter ISO 27001 eller tilsvarende.
I bilindustrien bygger ordningen TISAX på et fælles spørgeskema, ISA, som brancheforeningen VDA har lavet, og én vurdering kan deles med flere kunder. Det viser, at en hel branche kan blive enige om ét sæt kriterier.
For NIS 2-omfattede virksomheder er gennemførelsesforordning 2024/2690 og Styrelsen for Samfundssikkerheds vejledning to mulige målestokke for leverandørstyringen. Forordningen gælder kun bestemte digitale tjenesteudbydere, og vejledningen kun virksomheder under NIS 2-loven. For andre er de en målestok, man kan vælge.
En ramme, aftalen ikke henviser til, kan stadig være nyttig. Den hjælper med at finde de spørgsmål, kontrakten glemte. Fund mod den bør bare skrives som observationer og ikke som brud.
Aftal kriterierne før auditten
Kriterierne er en del af det, I sender til leverandøren, før auditten begynder. Leverandøren bør vide, hvad den bliver målt imod, og have mulighed for at sige fra, hvis en målestok ligger uden for aftalen. Det er praksis.
En almindelig fremgangsmåde er at lave en liste, hvor hvert kriterium har en kilde: bestemmelsen i aftalen, afsnittet i jeres politik eller kontrolpunktet i standarden. Listen bliver senere rygraden i rapporten, fordi hvert fund kan føres tilbage til en linje.
Den almene metode for valg af kriterier i en audit er beskrevet under kriterier og målestokke i en sikkerhedsaudit. Her er det særlige, at modparten ikke har tilsluttet sig jeres politikker, medmindre aftalen siger det.
Når kriterierne er for svage
Viser forberedelsen, at aftalen næsten ingen konkrete krav har, er der to veje. Auditten kan gennemføres mod en anerkendt ramme som et billede af leverandørens niveau, med fund skrevet som observationer. Og aftalen kan styrkes, så næste audit har bedre kriterier. Begge dele er praksis. Om at supplere en aftale, der løber, se tillæg til en løbende aftale.
Det første spor har en begrænsning. En rapport med observationer giver et billede, men det, leverandøren ikke har lovet, kan den heller ikke pålægges at rette. Det er vores læsning, og en aftale kan sige noget andet, hvis den henviser til en standard. Brug derfor billedet til at vælge de få krav, der er vigtigst at få ind i aftalen ved næste lejlighed.
Hvad det kræver, og hvad det koster at lade være
Forudsætningen er en person, der kender aftalen og bilagene og kan skille aftalte krav fra ønsker. Listen over kriterier skal være klar, før planen sendes.
Uden aftalte kriterier ender auditten i en diskussion om, hvad der overhovedet blev målt. Leverandøren kan afvise fund, der ikke har rod i aftalen, og I står med en rapport, der ikke kan bruges til krav.
Det skal I lade være med
- At måle leverandøren mod jeres egen politik uden aftale · den binder ikke leverandøren.
- At skrive fund mod en standard som brud · de er observationer, medmindre aftalen henviser til standarden.
- At starte auditten uden en liste over kriterier · leverandøren bør vide, hvad den måles imod.
Det skal auditten kunne vise
- ☐ En liste over kriterier med kilde for hvert.
- ☐ Adskillelse mellem aftalte krav, egne krav og anerkendte rammer.
- ☐ Leverandørens accept eller bemærkninger til listen.
- ☐ Hvert fund ført tilbage til et kriterium.
- ☐ Krav i aftalen, der var for vage til at blive afgjort.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1, 5.3 og bilag 5, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 3.1, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 bilag 4.e Revision og kontrol, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, punkt 2.1.1, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, afsnit 2.3 og 2.4, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over kriterier for jeres næste leverandøraudit, og skriv kilden ud for hvert punkt.
Læs også: Rapporten fra en leverandøraudit · Når auditten finder brud på aftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
