Når en audit viser, at leverandøren ikke opfylder et sikkerhedskrav i aftalen, er det kontraktens bestemmelser om mangler og misligholdelse, der afgør, hvad I kan kræve. Typisk er rækkefølgen afhjælpning inden en frist, bod, hvis aftalen har den, og ophævelse, hvis manglen er væsentlig og ikke rettes.
Fund i en leverandøraudit er derfor også et kontraktspørgsmål. Det, der i en intern audit ville være en opgave på en handlingsplan, er her et krav mod en anden virksomhed.
Fra fund til mangel
Et fund bliver kun til en mangel i kontraktens forstand, hvis det afviger fra noget, leverandøren har forpligtet sig til. Derfor lægger statens vejledning om leverandørforhold vægt på, at sikkerhedskrav står i selve kontrakten, hvor de kan gøres gældende ligesom aftalens øvrige krav. Vejledningen anbefaler også, at kunden følger op med det samme og dokumenterer sin kontrol af hensyn til en senere håndhævelse.
Et fund mod en anerkendt standard, som aftalen ikke henviser til, er en observation. Den kan være vigtig, men den er ikke et brud på aftalen. Den forskel bør stå tydeligt i rapporten.
To spor i statens kontraktmodel
Statens kontrakt for drift, K04, er god at låne fra for en privat kunde, men to af dens bestemmelser blandes let sammen.
Punkt 15 handler om leverandørens årlige revisorerklæring. Har revisor bemærkninger, skal leverandøren lave en handlingsplan for, hvordan og hvornår forholdet bringes i orden, og kunden kan være med, når revisor holder møder om sagen. Først når revisor har opdateret sin erklæring, så den viser lukningen, og kunden har fået den, gælder forholdet som rettet. Leverandøren betaler hele vejen.
Punkt 16 er kundens egen audit. Afslører den, at kravene i kontrakten ikke holder, skal leverandøren afhjælpe de påviste mangler og desuden betale omkostningerne ved auditten, også de eksterne auditorer.
Reglen om, at revisor skal bekræfte lukningen, står altså i punkt 15 og gælder bemærkninger i den årlige erklæring. For fund fra jeres egen audit er det punkt 16 og kontraktens generelle mangelsregler, der gælder. Sådan læser vi kontrakten. Vil I have, at et fund fra jeres audit først er lukket, når en uafhængig har bekræftet det, skal det aftales.
Frister og ophævelse
K04’s punkt 44.1 giver kunden ret til at ophæve helt eller delvist ved væsentlig misligholdelse. Ved mangler er det en betingelse, at de ikke er afhjulpet inden en frist efter første reklamation. K04 foreslår [40] arbejdsdage, et felt, kunden kan ændre. I reklamationen skal manglen beskrives konkret, og kunden skal tilkendegive, at den betragtes som væsentlig misligholdelse.
K04 har ingen særskilt bestemmelse om, at fund ved en sikkerhedsaudit i sig selv er væsentlig misligholdelse. Om et konkret fund er det, afhænger af kontraktens krav og dansk aftaleret. Den vurdering er juridisk og hører til jeres advokat.
Statens vejledning anbefaler, at misligholdelse af sikkerhedskrav bør kunne medføre bod og give kunden ret til straks at ophæve. Det er en anbefaling om, hvad aftalen bør indeholde, og ikke en regel, der gælder af sig selv.
Databehandleraftalen og DORA
Datatilsynets skabelon til databehandleraftale giver i bilag C.7 den dataansvarlige ret til at bede om yderligere foranstaltninger på baggrund af en revisionserklæring. Databeskyttelsesrådet skriver i sine retningslinjer om databehandlere, at kunden efter en inspektion bør kunne bede databehandleren afhjælpe mangler.
DORA, der gælder for finansielle virksomheder, går videre. Kontrakten skal mindst kunne opsiges ved væsentlig overtrædelse af lov eller kontrakt og ved dokumenterede svagheder i leverandørens samlede styring af IKT-risici. Den delegerede forordning om kontraktpolitikken beder om, at mangler rettes inden for en tidsramme, der passer til deres væsentlighed. Uden for finanssektoren kan begge dele bruges som pejlemærke, når en klausul skrives.
Fra fund til reklamation
En almindelig fremgangsmåde er at sortere fundene i tre bunker, før rapporten sendes. Den første er fund mod konkrete krav i aftalen, som kan blive til en reklamation. Den anden er fund mod krav, der er for vage til at håndhæve. Den tredje er observationer uden for aftalen.
Første bunke får en henvisning til bestemmelsen, en beskrivelse af afvigelsen og en frist. Anden bunke er et signal om, at sikkerhedsbilaget bør skrives om. Tredje bunke er grundlag for en drøftelse. Selve handlingsplanen er beskrevet under handlingsplanen efter auditten.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert fund kan føres tilbage til en bestemmelse, og at nogen hos jer ved, hvilke frister og sanktioner aftalen har. Reklamationen skal sendes i den form, aftalen foreskriver.
Uden den kobling ender et alvorligt fund som en anbefaling, leverandøren kan vælge at se bort fra. Og en fejl i reklamationens form kan koste den ret, aftalen ellers gav.
Det skal I lade være med
- At kalde alle fund for brud · kun afvigelser fra aftalen er det.
- At bruge revisorbekræftelsen fra punkt 15 på jeres egen audit · den gælder den årlige erklæring.
- At vurdere væsentlig misligholdelse uden juridisk hjælp · det afgøres af kontrakt og aftaleret.
Det skal auditten kunne vise
- ☐ Hvert fund med henvisning til den bestemmelse, det afviger fra.
- ☐ Adskillelse mellem brud, vage krav og observationer.
- ☐ Den reklamation eller anmodning, der er sendt, med dato og frist.
- ☐ Leverandørens svar og plan for afhjælpning.
- ☐ Dokumentation for, at afhjælpningen er kontrolleret.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 15, 16 og 44.1, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1, 4.1 og 5.3, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 7, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 9, stk. 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de tre alvorligste fund fra seneste audit, og skriv ud for hvert, hvilken bestemmelse i aftalen det afviger fra.
Læs også: K04’s punkt 15 og 16 og bilag 4.e · Hvornår er fundene alvorlige nok til at skifte leverandør?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
