Dokumentanmodningen er den liste over dokumenter og udtræk, I beder leverandøren om, før auditten begynder. Den virker bedst, når den er kort, når hvert punkt har en begrundelse, og når det fremgår, hvor i aftalen retten til at få det står.
En leverandør kan sige nej. Statens vejledning om cybersikkerhed i leverandørforhold nævner selv som en risiko, at leverandørens villighed til at levere den dokumentation, kunden beder om, kan være begrænset. En liste, hvor hvert punkt peger på aftalen og forklarer, hvad det skal bruges til, er sværere at afvise. Den vinkel er vores og en praksis.
Hvor retten til dokumentation kommer fra
For databehandlere er grundlaget klart. Databeskyttelsesforordningens artikel 28, stk. 3, litra h, pålægger databehandleren at udlevere alt, hvad der skal til for at påvise, at artiklen er overholdt. Datatilsynets skabelon til databehandleraftale lader den dataansvarlige få kopi af underdatabehandleraftaler, dog uden de kommercielle vilkår. EU-Kommissionens standardbestemmelser lader databehandleren redigere kopien for at beskytte forretningshemmeligheder.
Uden for databehandlerforholdet er det aftalen, der bestemmer. K04, statens standardkontrakt for it-drift, sikrer kundens auditører adgang til de data om systemet, en effektiv audit har brug for. Bilag 4.e beskriver de erklæringer og den dokumentation for leverandørens ledelsessystem, kunden kan kræve, og bilag 4.f lister underleverandørerne.
Hvad Databeskyttelsesrådet nævner
Databeskyttelsesrådet giver i sine retningslinjer om databehandlere to lister, der er brugbare her. Punkt 95 nævner, hvordan en databehandler typisk viser sine garantier: politikker, fortegnelser, rapporter fra eksterne revisioner og anerkendte internationale certificeringer som ISO 27000-serien. Punkt 143 nævner, hvad informationsstrømmen mellem parterne kan dække: hvordan systemerne fungerer, sikkerhedsforanstaltninger, opbevaring, dataplacering, overførsler, hvem der har adgang, modtagere og underdatabehandlere. Retningslinjerne er rådets fortolkning, oversat af os.
En begrundet liste
Listen nedenfor er vores forslag. Den skal tilpasses omfanget, og punkter, aftalen ikke giver ret til, bør markeres som en anmodning og ikke et krav.
- Seneste erklæring eller certifikat med omfang · Hvad det bruges til: At se, hvad der allerede er efterprøvet, og af hvem · Grundlag at henvise til: Bilag om revision og kontrol, fx K04 bilag 4.e
- Liste over underleverandører med dato · Hvad det bruges til: At kontrollere godkendelser og kæden · Grundlag at henvise til: Underleverandørbilaget; databehandleraftalens bestemmelse 7
- Kopi af underdatabehandleraftaler · Hvad det bruges til: At se, at kravene er ført videre · Grundlag at henvise til: Datatilsynets skabelon, bestemmelse 7
- Leverandørens sikkerhedspolitik og relevante procedurer · Hvad det bruges til: At kende leverandørens egne regler · Grundlag at henvise til: Sikkerhedsbilaget
- Liste over personer med adgang til jeres miljø · Hvad det bruges til: At afstemme adgange mod roller · Grundlag at henvise til: Sikkerhedsbilaget, adgangsstyring
- Seneste gendannelsestest for jeres data · Hvad det bruges til: At se, at backup virker · Grundlag at henvise til: Ydelsesbilag om backup
- Oversigt over hændelser, der berørte jer, siden sidste audit · Hvad det bruges til: At kontrollere underretning og håndtering · Grundlag at henvise til: Aftalens bestemmelse om hændelser
- Status på fund fra sidste audit · Hvad det bruges til: At følge op · Grundlag at henvise til: Handlingsplanen fra sidste audit
- Dataplacering og overførsler · Hvad det bruges til: At afstemme mod aftalen · Grundlag at henvise til: Databehandleraftalens bilag
Hvad der kan ses på stedet
Ikke alt behøver at blive sendt. Dokumenter, der indeholder andre kunders oplysninger eller interne vurderinger, kan vises på stedet eller på en delt skærm. Ordningen TISAX i bilindustrien lader en leverandør vise beviser ved en inspektion, som den ikke ønsker at udlevere. Skriv i anmodningen, at visning er en mulighed. Det gør det lettere for leverandøren at sige ja. Hvor grænsen går set fra leverandørens side, er beskrevet under hvad må kunden se.
Hold listen kort
En lang liste giver leverandøren meget arbejde og jer meget at læse. Datatilsynets vejledning om tilsyn med databehandlere beskriver i sit tredje koncept en årlig status, hvor man ved manglende oplysninger kan spørge, bede om dokumentation eller tage stikprøver. Det er en god tankegang for anmodningen også. Bed om det, der er nødvendigt for at besvare auditspørgsmålene, og spørg efter mere, når I har læst det første.
Den almene dokumentliste for en sikkerhedsaudit er beskrevet under dokumenter til en sikkerhedsaudit. Her er det særlige, at modtageren er en anden virksomhed, der skal kunne se, hvorfor I beder om hvert punkt.
Når leverandøren svarer med et link
En leverandør med mange kunder kan henvise til en portal eller et tillidscenter, hvor politikker og erklæringer ligger. Det kan være et fint svar på en del af listen. Kontrollér, at dokumenterne på portalen gælder den ydelse, I køber, og den periode, auditten ser på. Hent dem ned, og gem dem med dato, for indholdet på en portal kan skifte. Det er praksis.
Det, portalen ikke dækker, kan være det, der handler om jer: adgange til jeres miljø, hændelser, der ramte jer, og test af gendannelse af jeres data. Dem må I stadig bede om særskilt. Hvordan I reagerer, hvis leverandøren ikke svarer eller afviser, står i artiklen om leverandøren, der ikke vil svare.
Frist og form
Giv leverandøren en frist, der passer til listens længde, og bed om, at dokumenterne mærkes med det punkt på listen, de svarer på. Bed om datoer på alle udtræk. Et udtræk uden dato kan ikke bruges som bevis for en periode.
Registrér, hvad der er modtaget, hvad der er afvist, og med hvilken begrundelse. Det er i sig selv et resultat af auditten. Mønstret siger noget om leverandørens åbenhed, og det kan bruges, når I næste gang vurderer, hvor tæt leverandøren skal følges.
Hvad det kræver, og hvad det koster at lade være
En brugbar anmodning forudsætter, at omfanget og kriterierne ligger fast, og at nogen kender aftalens bilag godt nok til at henvise til dem. Listen bør sendes sammen med auditplanen.
Uden en begrundet liste får I enten for lidt, fordi leverandøren afviser, eller for meget, fordi leverandøren sender alt. Begge dele forsinker auditten og gør det sværere at vise, hvad der faktisk blev kontrolleret.
Det skal I lade være med
- At bede om alt, leverandøren har · det skaber arbejde for begge parter og få svar.
- At kræve dokumenter, aftalen ikke giver ret til · bed om dem som en anmodning.
- At acceptere udtræk uden dato · de kan ikke bruges som bevis.
Det skal auditten kunne vise
- ☐ Anmodningen med dato, frist og begrundelse for hvert punkt.
- ☐ Hvad der blev modtaget, og hvad der kun blev vist.
- ☐ Hvad leverandøren afviste, og med hvilken begrundelse.
- ☐ Dato på hvert udtræk.
- ☐ Hvilke auditspørgsmål hvert dokument besvarede.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.3, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 95 og 143, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.7, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 16 og bilag 4.e, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, vurderingsniveauer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres nuværende dokumentliste om, så hvert punkt har en begrundelse og en henvisning til aftalen.
Læs også: Leverandøren vil ikke udlevere dokumentation · Sådan læser I et udfyldt spørgeskema
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
