D-mærket viser, at leverandøren har bestået mærkets egen kontrol af de kriterier, der gælder for virksomhedens gruppe. Som køber kan I bruge mærket som et tegn på, at der er arbejdet med IT-sikkerhed og dataetik, men det dokumenterer ikke jeres konkrete ydelse eller de særlige krav i jeres aftale.
Når en leverandør viser D-mærket frem i et tilbud eller på sin hjemmeside, er spørgsmålet, hvad der ligger bag. Svaret står på mærkets egne sider, og det er dem, artiklen bygger på.
Kriterierne
D-mærket har otte kriterier. Alle virksomheder skal leve op til kriterie 1 til 5. Kriterie 6 til 8 afhænger af virksomhedens aktiviteter: kriterie 6 gælder virksomheder med software, kriterie 7 virksomheder, der bruger algoritmer og kunstig intelligens, og kriterie 8 gælder som udgangspunkt virksomheder i gruppe II til IV.
Kriterie 4 er særlig interessant for en køber. Det stiller krav til, hvordan virksomheden sikrer, at dens egne leverandører passer på IT og data. Leverandøren, der har mærket, er altså selv blevet vurderet på, hvordan den styrer sine egne leverandører.
Virksomhederne inddeles i fire grupper efter størrelse, forretningsmodel og brug af data- og IT-tjenester. Gruppen afgør, hvilke kriterier og krav der gælder. To virksomheder med D-mærket er derfor ikke nødvendigvis vurderet på de samme krav.
Processen
Ifølge D-mærkets beskrivelse af processen begynder den med en selvevaluering. Nogle krav er markeret som minimumskrav. De skal være opfyldt og besvaret med ja, før virksomheden kan bede om tilsyn. De øvrige krav skal besvares, men behøver ikke alle være opfyldt fra start.
Herefter følger et opstartsmøde, og virksomheden uploader dokumentation. D-mærkets auditorer gennemgår dokumentationen og vurderer, om kravene er efterlevet. Resultatet er en observationsliste og en afsluttende rapport.
Mærket tildeles for et år ad gangen. Ved de årlige tilsyn følges der op på udvalgte minimumskrav og udviklingskrav.
Det, I kan slutte af mærket
Mærket viser, at leverandøren har gennemført selvevalueringen, opfyldt minimumskravene for sin gruppe og fået sin dokumentation gennemgået af mærkets auditorer. Det er mere end en erklæring på leverandørens egen hjemmeside, fordi en anden part har set dokumentationen.
Det viser også, at leverandøren er vurderet efter et kriterie om egne leverandører. For en køber, der selv bekymrer sig om kæden bag leverandøren, er det et nyttigt udgangspunkt for spørgsmål.
Det, I ikke kan slutte af mærket
Grænserne nedenfor er vores tolkning af D-mærkets beskrivelse.
Alle krav er ikke nødvendigvis opfyldt. Minimumskravene skal være opfyldt. Udviklingskravene behøver ikke alle være det fra start.
Mærket siger intet om jeres ydelse. Kontrollen gælder virksomheden og dens gruppe. Den nævner ikke den konkrete tjeneste, I køber, de lokationer, jeres data ligger på, eller de krav, I har aftalt.
En test af virkning over en periode står ikke i beskrivelsen. Processen beskriver gennemgang af uploadet dokumentation. At kontrollernes virkning testes over en periode, sådan som i en type 2-erklæring, står ikke i D-mærkets beskrivelse.
Et tænkt eksempel viser grænsen. En lille leverandør af et bookingsystem har D-mærket i gruppe I. Jeres aftale kræver, at data ligger i EU, og at en gendannelse er testet inden for det seneste år. Ingen af de to krav fremgår af mærket, og begge må I spørge til selv.
Rapporten. Om den afsluttende rapport kan deles med kunder, står ikke på D-mærkets sider. Spørg leverandøren.
Sådan bruger I mærket i jeres kontrol
En almindelig fremgangsmåde er at behandle mærket som ét bevis blandt flere. Det kan begrunde, at en leverandør med lav risiko ikke får en mere omfattende kontrol. Hos en leverandør med stor adgang eller følsomme data kan det sjældent stå alene.
Konkret kan I bede om tre ting:
- Hvilken virksomhedsgruppe leverandøren er vurderet i, og hvilke kriterier det betød.
- Datoen for seneste tildeling eller årlige tilsyn.
- Om leverandøren vil vise den afsluttende rapport eller observationslisten, helt eller i uddrag.
Derefter spørger I til det, mærket ikke dækker: jeres egen ydelse og jeres særlige krav. Formen for de spørgsmål er beskrevet i sikkerhedsspørgeskema til leverandører.
Har leverandøren både D-mærket og en revisorerklæring eller et certifikat, så læs dem hver for sig. De er lavet efter forskellige kriterier og af forskellige parter. Opslaget af et certifikat står i certifikatet slået op.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I spørger ind til gruppe, dato og rapport, og at I supplerer med spørgsmål om det, mærket ikke dækker. Det er et lille arbejde i forhold til en egentlig audit.
Bruger I mærket som bevis for alt, hviler jeres kontrol på en vurdering, der ikke kender jeres aftale. Ved en hændelse har I ingen dokumentation for, at de krav, I selv stillede, blev kontrolleret.
Det skal I lade være med
- At læse mærket som bevis for jeres konkrete ydelse · kontrollen gælder virksomheden.
- At gå ud fra, at alle krav er opfyldt · udviklingskrav kan stå åbne.
- At sammenligne to mærkede leverandører uden at kende deres gruppe · gruppen afgør kravene.
Det skal auditten kunne vise
- ☐ Leverandørens virksomhedsgruppe og de kriterier, den er vurderet på.
- ☐ Dato for seneste tildeling eller årlige tilsyn.
- ☐ Den afsluttende rapport eller et uddrag, hvis leverandøren deler den.
- ☐ De krav i jeres aftale, mærket ikke dækker, og hvordan de er kontrolleret.
Kilder
- D-mærket, Kriterier, læst 12. november 2026.
- D-mærket, Processen for D-mærket, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg den leverandør, der viser D-mærket, hvilken gruppe den er vurderet i, og hvornår det seneste tilsyn var.
Læs også: Audit af den lille leverandør · Sådan læser I et udfyldt spørgeskema
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
