Er leverandøren både databehandler og en vigtig IT-leverandør, kan tilsynet efter databeskyttelsesreglerne og sikkerhedsauditten gennemføres i samme forløb. Leverandøren skal kun tage imod jer én gang, og mange beviser kan bruges i begge. Rapporterne bør dog holdes adskilt, fordi de to kontroller måler noget forskelligt.
Artiklen handler om samkøringen. Selve tilsynsmodellen og den almene auditmetode er beskrevet andre steder, bl.a. under den almene auditmetode.
To kontroller med hver sit formål
Tilsynet med en databehandler følger af databeskyttelsesforordningens artikel 28. Databehandleren skal kunne stille de garantier, artiklen kræver, og kontrakten skal give den dataansvarlige adgang til oplysninger og revision. Datatilsynets tilsynsvejledning fra 2021 fremhæver, at det, der vurderes ved databeskyttelse, er risikoen for de registrerede.
Sikkerhedsauditten af leverandøren handler om jeres egen forsynings- og cybersikkerhed. Er I omfattet af NIS 2, er grundlaget kapitel 4 i Styrelsen for Samfundssikkerheds vejledning om implementering. Ellers er grundlaget kontrakten og eventuelt en standard, I har valgt at måle imod.
Den forskel er grunden til to rapporter. Det er vores tolkning af kilderne, men den følger af, at de to kontroller har forskellige kriterier og forskellige modtagere.
Kriterierne er forskellige
Datatilsynet skriver, at rammen for, hvad der føres tilsyn med, som udgangspunkt er databehandleraftalen. Tilsynets kriterier er derfor aftalens instruks, sikkerhedsbilag og regler for underdatabehandlere.
Sikkerhedsauditten har kontraktens sikkerhedskrav, NIS 2-kravene eller en standard som kriterier. Mange punkter overlapper, fx adgangsstyring og hændelseshåndtering. Vurderingen kan alligevel falde forskelligt ud, fordi målestokken er en anden. En svag adgangsstyring på et system uden personoplysninger er et fund i sikkerhedsauditten og ikke nødvendigvis i tilsynet.
Planlæg forløbet samlet
Det følgende er praksis.
Én planlægning. Lav én plan, der viser, hvilke emner der hører til tilsynet, hvilke til sikkerhedsauditten, og hvilke til begge. Send den til leverandøren som én anmodning.
Én dokumentanmodning. Bed om materialet én gang, og markér, hvilken kontrol hvert dokument skal bruges i.
Ét besøg eller én fjernaudit. Det europæiske databeskyttelsesråd lægger i sine retningslinjer 07/2020 op til, at auditten kan foregå på stedet, på afstand eller på anden måde, og at den dataansvarlige træffer det endelige valg. Samme valg kan bruges for sikkerhedsauditten.
To rapporter. Skriv en rapport for tilsynet med databehandleraftalen som målestok og en for sikkerhedsauditten med kontrakten eller NIS 2 som målestok. Henvis gerne mellem dem, når et fund rammer begge.
Når rytmen ikke passer
De to kontroller har ikke altid samme interval. Datatilsynet skriver, at jo mere kritisk behandlingen er for de registrerede, jo mere intensiv bør kontrollen være, og i nogle tilfælde årlig. Brud på aftalerne, gentagne alvorlige sikkerhedsbrud, hyppige skift af underdatabehandlere og ejerskifter taler for at kontrollere oftere. Sikkerhedsauditten kan have en anden rytme, fastsat efter leverancens betydning.
Læg forløbene sammen de år, hvor de falder tæt, og lad det lettere tilsyn køre alene i de mellemliggende år. Datatilsynet nævner selv, at koncepterne kan kombineres, fx et uafhængigt tilsyn hvert andet år og en årlig skriftlig status i de øvrige.
Beviser, der kan deles
Nogle beviser kan bruges i begge kontroller. Listen er vores tolkning af, hvad kilderne nævner som relevant bevis.
- Leverandørens sikkerhedsdokumentation, revisionsrapporter og erklæringer. Datatilsynets koncept 5 bygger på en uafhængig tredjeparts dokumenterede tilsyn, og EDPB regner både eksterne auditrapporter og anerkendte certificeringer med til den dokumentation, en databehandler kan fremlægge.
- Oplysninger om brud og hændelser siden sidst. Datatilsynets koncept 3 og 4 forudsætter, at spørgsmålet bliver stillet.
- En oversigt over underdatabehandlere og underleverandører. Artikel 28, stk. 2, kræver godkendelse af underdatabehandlere, og forordning 2024/2690 beskriver et register over direkte leverandører i bilagets punkt 5.2.
Et delt bevis skal stadig vurderes mod hver kontrols kriterier. En erklæring, der dækker leverandørens drift, siger ikke automatisk noget om de særlige vilkår, I har skrevet ind i databehandleraftalen.
Koncept 6 som ramme
Datatilsynets koncept 6 er det tilsyn, kunden fører selv eller sammen med andre kunder, fx med et skriftligt spørgeskema og opfølgning. Efter vores vurdering passer den bedst til et samlet forløb, fordi I selv bestemmer omfanget. Kombinerer I det med en sikkerhedsaudit, kan spørgeskemaet dække begge kontroller, og opfølgningen kan ske på samme møde.
Hvem rapporterne går til
Tilsynsrapporten bruges af den, der har ansvaret for databeskyttelse hos jer, og bør kunne vises til Datatilsynet. Sikkerhedsrapporten går til den, der ejer leverandørforholdet, og ved NIS 2 til ledelsen. Leverandøren skal have et grundlag for at rette i begge.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at databeskyttelse og IT-sikkerhed hos jer planlægger sammen, og at en person holder sammen på forløbet. Det kræver også, at begge kriteriesæt er kendt, før besøget.
Køres de to kontroller hver for sig, skal leverandøren svare på de samme spørgsmål to gange, og begge parter bruger mere tid. Slås de sammen i én rapport, bliver det uklart, hvilke fund der er brud på databehandleraftalen, og hvilke der er sikkerhedsfund.
Det skal I lade være med
- At skrive én fælles rapport · målestokkene er forskellige.
- At bruge et delt bevis uden at vurdere det mod hver kontrol · dækningen kan være forskellig.
- At planlægge hver kontrol for sig hos samme leverandør · det dobbelte arbejde rammer begge parter.
Det skal auditten kunne vise
- ☐ En samlet plan, hvor hvert emne er knyttet til tilsynet, sikkerhedsauditten eller begge.
- ☐ Kriterierne for hver kontrol: databehandleraftalen og kontraktens sikkerhedskrav eller NIS 2.
- ☐ En liste over delte beviser med en vurdering for hver kontrol.
- ☐ To rapporter med hver sin målestok og henvisninger mellem dem.
- ☐ Modtagerne af hver rapport hos jer.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 1.2, 3.1 og koncept 3 til 6, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1, punkt 95 og 144, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, juni 2025, kap. 4, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de leverandører, der både er databehandlere og vigtige IT-leverandører, og planlæg næste kontrol af dem som ét forløb.
Læs også: ISAE 3000-erklæringen om databeskyttelse · Auditkriterier
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
