Et besøg hos leverandøren giver bevis, når observationerne bliver skrevet ned med dato, sted, hvad der blev set, og hvem der var til stede. Det, I bør se efter, er det, et dokument ikke kan vise: om adgangen til lokalerne faktisk er styret, om udstyret står, som beskrevet, og om det, leverandøren fortæller, svarer til det, der foregår.
Om I skal besøge leverandøren eller gennemføre auditten på afstand, er et valg, der træffes tidligere. Det er behandlet under fjernaudit eller besøg. Denne artikel begynder, når I står i døren.
Retten til at komme ind
Datatilsynets skabelon til databehandleraftalen giver i bilag C.7 et eksempel på en tekst, der giver den dataansvarlige, selv eller ved en repræsentant, ret til at inspicere, også fysisk, de lokaliteter og systemer, hvorfra databehandleren behandler personoplysninger. Der kan aftales en planlagt inspektion med et fast interval, og den dataansvarlige kan desuden inspicere, når det findes nødvendigt. Databehandleren afsætter de ressourcer, det kræver, hovedsageligt tid.
Statens vejledning om leverandørforhold nævner tilsyn hos leverandøren, både varslet og uanmeldt, blandt eksemplerne på kontrol. I statens standardkontrakt K04 for drift er udgangspunktet en audit med 30 dages varsel. Tallet står i skarp parentes og kan ændres, og en begrundet mistanke om kontraktbrud kan give adgang til audit uden varsel. K04 gælder kun, hvor parterne har valgt den.
Observationslisten
Listen er praksis. Den er tænkt som et udgangspunkt, I tilpasser til leverancen.
Ankomst og adgang
- Hvordan blev I lukket ind? Blev legitimation kontrolleret?
- Blev I registreret som gæster, og fik I et synligt gæstekort?
- Blev I fulgt hele tiden, eller kunne I gå alene?
Datacenter eller serverrum
- Er rummet aflåst, og hvem har adgang? Bed om at se adgangsloggen for den seneste uge.
- Svarer udstyret og dets placering til den beskrivelse, I har fået?
- Står jeres udstyr adskilt, eller deles rack med andre kunder?
- Er der synlige spor af miljøkontrol som køling, brandsikring og nødstrøm?
Kontor og arbejdspladser
- Ligger papirer med kundeoplysninger fremme?
- Er skærme låst, når folk går fra dem?
- Er der adgang for uvedkommende til områder, hvor der arbejdes med jeres data?
Sikkerdigitals vejledning til leverandørskemaet siger, at fysisk sikkerhed bl.a. bør omfatte indhegning, aflåste områder, videoovervågning og logget adgangskontrol. Det er en god rækkefølge at gå efter, udefra og ind.
For datacentre, der hører under gennemførelsesforordning (EU) 2024/2690, beskriver bilagets punkt 13 krav til forsyninger, miljøkontrol med tærskler, fysisk perimeter og overvågning. Hos andre kan punktet bruges som målestok for, hvad I ser på.
Sådan bliver en observation til bevis
Ingen kilde beskriver, hvordan en observation skal dokumenteres. En form, der virker, er en kort note pr. observation med fem felter. Eksemplet er tænkt.
- Dato og tid · (14. marts, kl. 10.20)
- Sted · (Serverrum, 2. sal, rum 2.14)
- Observation · (Døren stod åben, holdt af en stol. Ingen til stede i rummet.)
- Til stede · (Leverandørens driftschef, auditor)
- Dokumentation · (Foto efter tilladelse, adgangslog for dagen udleveret)
Skriv det, I så, og vent med vurderingen. “Døren stod åben” er en observation. “Adgangskontrollen virker ikke” er en konklusion, der kræver mere end ét øjebliksbillede.
Datatilsynets tilsynsvejledning gentager rådet “Gem altid din korrespondance med databehandleren.” Noterne fra besøget hører med til den dokumentation.
Fotografering
Billeder er stærkt bevis, men fotografering hos leverandøren kræver leverandørens tilladelse. Den kan være begrænset af sikkerhedsforskrifter, og K04 omtaler leverandørens sikkerhedsforskrifter i bestemmelsen om audit. Aftal på forhånd, hvad der må fotograferes, og hvem der opbevarer billederne. Er det ikke tilladt, er en præcis skriftlig beskrivelse, som leverandøren bekræfter, et alternativ.
Bekræft observationerne inden afgang
En almindelig fremgangsmåde er at gennemgå noterne med leverandørens kontaktperson, før I går. Så kan fejl i noterne rettes, mens alle står i rummet, og det gør observationerne sværere at bestride bagefter. Uenighed noteres som uenighed.
Hvad I ikke gør på stedet
Et besøg består af observationer. I prøver ikke døre, forsøger ikke at komme ind, hvor I ikke er inviteret, og rører ikke udstyr. Under besøget holder I jer til det, I kan se, det, I får vist, og de dokumenter, leverandøren udleverer. Det gør også noterne lettere at stå inde for bagefter.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ret til inspektion i aftalen, en plan for besøget sendt i god tid og en person, der skriver ned undervejs. En rundvisning uden noter giver et indtryk og intet bevis.
Uden dokumentation kan et fund fra besøget ikke bære en handlingsplan. Leverandøren kan med rette sige, at det, I så, ikke er beskrevet nogen steder.
Det skal I lade være med
- At tage en rundvisning for en inspektion · bed om at se de konkrete rum og logs.
- At skrive konklusioner i stedet for observationer · notér, hvad der blev set.
- At fotografere uden aftale · det kan bryde leverandørens sikkerhedsforskrifter.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelse om inspektion og varsel.
- ☐ Plan for besøget sendt til leverandøren med dato.
- ☐ Noter pr. observation med dato, sted, iagttagelse og deltagere.
- ☐ Udleverede adgangslogs eller andre dokumenter fra besøget.
- ☐ Leverandørens bekræftelse af eller indsigelse mod noterne.
Kilder
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12 og bilag C.7, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15 og 16, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), pkt. 1.A, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 13, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav jeres observationsliste ud fra leverancen, og send leverandøren en plan for besøget med de rum, I vil se.
Læs også: Varslet eller uanmeldt audit · Audit af hosting og datacenter
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
