Et ISO 27001-certifikat fra leverandøren er gyldigt for jer, når fire ting holder: det findes hos den, der har udstedt det, udstederen er akkrediteret til ordningen, status er aktiv, og certifikatets gyldighedsområde omfatter den ydelse, I køber. De tre første kan slås op. Den fjerde kræver, at I læser certifikatet med jeres aftale ved siden af.
Et certifikat i PDF er en påstand. Opslaget gør det til et bevis.
Findes det, og hvad er status?
IAF CertSearch er den database, IAF har lavet til at verificere certifikater. Ifølge brugervejledningen vises hvert certifikat med én af fire statusser. Gengivet på dansk:
- Aktiv. Certifikatet er gyldigt.
- Suspenderet. Midlertidigt inaktivt, fx fordi det er under undersøgelse eller ikke i overensstemmelse.
- Tilbagetrukket. Permanent trukket tilbage af certificeringsorganet.
- Udløbet. Gyldighedsperioden er slut, uden at certifikatet er fornyet.
Søgning i databasen kræver en konto. Vi har ikke oprettet en og har derfor ikke afprøvet søgningen. Det, der står her om databasen, bygger på vejledningen.
For danske akkrediterede certificeringsorganer har DANAK, Danmarks nationale akkrediteringsorgan, gjort det obligatorisk at indberette ledelsessystemcertifikater til databasen fra 26. oktober 2024. Data opdateres løbende. Finder I ikke et certifikat, kan det betyde, at udstederen ikke er akkrediteret. Det er en tolkning, og der kan være andre forklaringer, fx et udenlandsk organ eller en forsinket opdatering.
Den anden vej går gennem udstederen. En almindelig fremgangsmåde er at bede certificeringsorganet selv bekræfte certifikatet og dets status, så bekræftelsen kommer direkte fra organet.
Er udstederen akkrediteret?
DANAK akkrediterer certificeringsorganer efter et sæt standarder. For ledelsessystemer for informationssikkerhed lister DANAK bl.a. ISO/IEC 17021-1, som stiller krav til organer, der auditerer og certificerer ledelsessystemer, og ISO/IEC 27006-1, som stiller særlige krav til organer, der certificerer ledelsessystemer for informationssikkerhed. Selve teksten i de to standarder har vi ikke læst.
DANAK har også præciseret, at hver overvågningsaudit skal omfatte løbende driftskontrol, og at certificeringsorganerne skal sikre, at alle audits omfatter produktion og drift.
Et certifikat fra et organ uden akkreditering kan stadig sige noget om leverandøren. I mangler blot en uafhængig vurdering af, hvordan auditten er udført, og det hører med i jeres notat. Vurderingen er vores.
Gælder det jeres ydelse?
Her ligger det egentlige arbejde. DANAK kræver i en akkrediteringsmeddelelse, at certificeringsdokumenter for akkrediterede ydelser angiver den standard, systemet opfylder, og certificeringens gyldighedsområde med hensyn til typen af aktiviteter, produkter og ydelser. Et certifikat må heller ikke give indtryk af akkreditering til et grundlag, organet ikke er akkrediteret til.
Læs gyldighedsområdet ordret. Spørg:
- Nævner det den ydelse, I køber, eller en anden del af virksomheden?
- Omfatter det de lokationer, jeres data behandles på?
- Er det udstedt til det selskab, der står i jeres kontrakt, eller til et søsterselskab eller moderselskab?
- Er der underleverandører, som drift eller hosting ligger hos, og er de med?
Et tænkt eksempel: certifikatets gyldighedsområde lyder (udvikling og support af software) hos en leverandør, I køber drift af. Driftsafdelingen er ikke nævnt. Certifikatet siger da intet om den del, I er afhængige af.
Statens standardkontrakt K04 har samme logik i bilag 4.e. Bilaget godtager et ISO 27001-certifikat, når og så vidt leverandøren viser, at det faktisk dokumenterer de krav, kunden har stillet. Bestemmelsen binder kun parter, der har brugt K04.
Hvilke kontroller leverandøren har valgt til og fra, står ikke på selve certifikatet. Som praksis kan I bede om at se oversigten over valgte kontroller. Om leverandøren vil udlevere den, er et spørgsmål om fortrolighed, se leverandøren vil ikke udlevere dokumentation.
Hvad certifikatet kan bære
Ifølge DORA-reglerne i 2024/1773 må en finansiel virksomhed kun støtte sig til certificeringer, hvis den blandt andet sikrer, at anvendelsesområdet dækker dens systemer, at certificeringen ikke er forældet, og at udstederen er egnet. For købere i andre brancher er det en nyttig rettesnor og intet krav.
Det tyske cybersikkerhedsagentur BSI vurderer, at ISO/IEC 27001 fokuserer på ledelsessystemet og ikke er optimalt egnet til at vise en cloudtjenestes sikkerhed. En certificering verificerer heller ikke foranstaltningernes virkning i en forudgående periode, sådan som en erklæring gør. Det er BSI’s vurdering. Den peger på, at certifikatet og en erklæring svarer på forskellige spørgsmål, se sådan læser I erklæringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver et opslag, en forespørgsel til udstederen og en omhyggelig læsning af gyldighedsområdet mod aftalen. Det er sjældent et stort arbejde, men det skal gentages, når certifikatet fornyes eller ændres.
Uden opslaget kan I have et udløbet, suspenderet eller forkert afgrænset certifikat i jeres mappe som bevis. Ved et tilsyn eller en hændelse viser det, at I modtog et dokument, og intet om, at I kontrollerede det.
Det skal I lade være med
- At tage certifikatet som PDF for gode varer · slå status op hos udstederen eller i databasen.
- At læse logoet i stedet for gyldighedsområdet · omfanget afgør, hvad certifikatet dækker.
- At skrive en fast certificeringscyklus i jeres plan uden at tjekke den · se på den konkrete gyldighedsdato.
Det skal auditten kunne vise
- ☐ Opslag af certifikatets status med dato og kilde.
- ☐ Udstederens akkreditering, og hos hvilket akkrediteringsorgan.
- ☐ Gyldighedsområdet ordret, holdt op mod den ydelse, lokation og juridiske enhed, aftalen gælder.
- ☐ Underleverandører, certifikatet ikke dækker.
- ☐ Næste dato for kontrol af status.
Kilder
- IAF CertSearch, Certificate Verification Guide, læst 12. november 2026.
- DANAK, AMC 45 Indberetning til IAF CertSearch, 3. maj 2024, læst 12. november 2026.
- DANAK, AMC 36 Angivelse af tillægskrav i certifikater vedr. ledelsessystemer, 31. marts 2023, læst 12. november 2026.
- DANAK, AMC 43 Omfang af audit, 25. november 2022, læst 12. november 2026.
- DANAK, Ledelsessystem for informationssikkerhed, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Bilag 4.e Revision og kontrol, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 3, læst 12. november 2026.
- BSI, C5 FAQ, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag certifikatet fra jeres vigtigste leverandør, og skriv gyldighedsområdet af ordret ved siden af den ydelse, I køber.
Læs også: D-mærket hos leverandøren · Standardskemaer til leverandørvurdering
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
