...
Spørgsmål om leverandøraudit
Spørgsmålene her er dem, kunder og leverandører typisk stiller, når en IT-leverandør eller en databehandler skal kontrolleres. Svarene er korte, og linket under hvert svar fører til artiklen med hele forklaringen. Regler er gengivet forenklet og er generel viden, ikke juridisk rådgivning.
Beslutningen
Hvad er en leverandøraudit?
En planlagt kontrol af, om leverandøren gør det, den har forpligtet sig til, ført med bevis og med aftalen som adgang. Den er den tungeste af tre former; de to lettere er en gennemgang af dokumenter og et spørgeskema.
Skal alle leverandører auditeres?
Nej. De fleste klarer sig med en lettere kontrol. En egentlig audit hører til de få leverandører, hvor en fejl rammer data eller drift hårdest.
→ Hvilke leverandører skal auditeres?
Hvordan vælger vi, hvilke leverandører der skal have en audit?
Ranger hele leverandørlisten efter de samme få parametre, fx adgang, følsomhed af data og afhængighed. Skriv begrundelsen ned, så valget kan forklares senere.
Hvor tit skal en leverandør auditeres?
Ingen af de læste regler fastsætter et interval. Sæt det pr. klasse af leverandører, og lad det følge kontraktens frister, erklæringernes perioder og ændringer hos leverandøren.
→ Hvor ofte skal en leverandør auditeres?
Skal vi auditere leverandøren efter en hændelse?
Ofte ja. Auditten skal afklare, hvad der skete med jeres data og ydelser, hvorfor det kunne ske, og om det er rettet. Læg den, så den ikke forstyrrer leverandørens oprydning.
Hvad kan vi kontrollere, før kontrakten er underskrevet?
Kun eksisterende dokumentation og det, leverandøren vælger at vise frem. Adgang til systemer, folk og lokaler senere skal skrives ind som en ret, inden I skriver under.
Hvordan laver vi en årsplan for leverandøraudits?
Saml hver leverandørs faste datoer i én kalender: erklæringens ankomst, aftalens frister for fornyelse og opsigelse og jeres egne planlagte kontroller.
→ Årsplan for leverandøraudits
Hvem hos os skal eje leverandørauditten?
Én navngiven person, der henter indkøb, jura og IT ind efter behov. Leverandøren bør have en tilsvarende kontaktperson.
→ Hvem ejer leverandørauditten?
Skal vi selv udføre auditten, bruge revisor eller en uvildig rådgiver?
Se på kontraktens krav til auditoren, på den uafhængighed af leverandøren, I har brug for, og på formålet med resultatet. Egne folk, revisor og rådgiver leverer hver sin slags svar.
Hvad gør en leverandøraudit stor eller lille?
Mest forhold hos leverandøren: kontraktens adgang, viljen til at samarbejde og antallet af led. Dertil antallet af leverandører, besøg og den rapportform, I vælger.
Kan en lille kunde auditere en stor cloudleverandør?
Sjældent med besøg. Kontrollen består typisk i at læse leverandørens revisionsrapporter grundigt og holde dem op mod de tjenester, I faktisk bruger.
Hvordan auditerer vi en leverandør med få ansatte?
Tilpas formen til størrelsen, og hold fast i det væsentlige: adgang til jeres data, backup, afhængighed af enkeltpersoner og risikoen for lukning eller ejerskifte.
Kan flere kunder auditere samme leverandør sammen?
Ja, kilderne beskriver tre modeller for fælles audit. Hver kunde skal dog stadig selv vurdere, om resultatet dækker dens egen brug.
Hvordan vurderer vi en sikkerhedsrapport fra leverandøren?
Spørg, hvem der har bestilt den, og hvem der har skrevet den. Bestilleren har valgt omfanget, og afsenderen afgør, hvor uafhængig konklusionen er.
Kontrakten
Hvad skal en revisionsklausul indeholde?
Varsel, omfang, hyppighed, adgang, hvem der må udføre kontrollen, og hvem der betaler. En auditor skal kunne læse klausulen og vide, hvad der må ske.
→ Revisionsretten i kontrakten
Hvad gør vi, hvis aftalen ikke giver revisionsret?
Brug den rapportering, de erklæringer og de møder, aftalen ellers giver, og send en anmodning. Er leverandøren databehandler, skal databehandleraftalen give adgang til revision.
→ Ingen revisionsret i aftalen
Kan vi få revisionsretten ind i en aftale, der allerede løber?
Ja, med et kort tillæg om kontrol alene. Resten af aftalen kan blive stående uændret.
→ Tillæg til en løbende aftale
Hvem betaler for en leverandøraudit?
Det står i aftalen. De offentlige modeller fordeler det på tre måder: kunden betaler, medmindre der findes mangler, bestilleren betaler, eller parterne udfylder et felt.
Hvordan skriver vi sikkerhedskrav, der kan auditeres?
Formulér hvert krav, så det kan afgøres med et klart ja eller nej, og skriv, hvilket bevis der viser svaret. Vage krav om “tilstrækkelig” sikkerhed kan ikke prøves.
→ Sikkerhedsbilaget som auditgrundlag
Hvad siger K04 om revision og audit?
Punkt 15 kræver en årlig erklæring fra en statsautoriseret revisor, og punkt 16 lader kunden få ydelserne undersøgt af en uvildig auditor. Bilag 4.e er kataloget over erklæringer, kunden kan vælge.
Dækker auditbestemmelsen i K02 og K03 informationssikkerhed?
Efter Digitaliseringsstyrelsens vejledning til K03 er bestemmelsen en bevisregel om indsigt. En sikkerhedsaudit bør efter vores læsning aftales for sig.
Hvad står der i bilag C.7 og C.8 i databehandleraftalen?
Det er her, parterne bestemmer, hvordan den dataansvarlige fører tilsyn med databehandleren og underdatabehandlerne. Felterne i skarpe parenteser skal udfyldes, før tilsynet kan gennemføres.
Gælder vores revisionsret også underleverandørerne?
Kun hvis aftalen fører den videre. Det kan ske ved, at leverandørens revision omfatter dem, eller ved at leverandøren selv kontrollerer dem og viser jer resultatet.
→ Revisionsret over for underleverandører
Skal auditoren skrive under på en fortrolighedsaftale?
Ja, og det bør ske, før auditoren ser noget. Aftalen skal også sige, hvad der må tages med, og hvad der sker med materialet bagefter.
→ Fortrolighed og adgangsregler
Hvad kan vi gøre, når auditten viser brud på aftalen?
Kontraktens regler om mangler afgør det. Typisk kommer krav om afhjælpning inden en frist først, så bod, hvis aftalen har den, og til sidst ophævelse ved væsentlig mangel.
Hvordan kontrollerer vi sletningen, når aftalen ophører?
Efterprøv leverandørens skriftlige bekræftelse med stikprøver: findes der rester af data, ligger der kopier i backup eller hos en underleverandør, og er adgangene lukket?
Kan vi bruge DORA, selv om vi ikke er en finansiel virksomhed?
Som målestok, ja. Forordningen opregner indholdet af en revisionsklausul ret detaljeret, mens selve pligten ligger hos finanssektoren.
Hvad gælder for leverandører i energisektoren?
Efter bekendtgørelse nr. 260 fra marts 2025 skal aftalen med leverandøren rumme bestemte punkter, og leverandøren skal kunne dokumentere, at kravene holdes. En udtrykkelig revisionsret står ikke i reglerne.
Hvad betyder bestemmelse 7.6 i EU’s standardbestemmelser for databehandlere?
Den giver en revisionsret med rimelige mellemrum, ved tegn på manglende overholdelse og med rimeligt varsel. Den danske skabelon lader parterne udfylde de samme spørgsmål i bilag C.7.
→ EU’s standardbestemmelser 2021/915
Må databehandleren selv vælge auditoren?
Den må foreslå en. Efter Databeskyttelsesrådets retningslinjer træffer den dataansvarlige det endelige valg og kan gøre indsigelse mod omfang, metode og resultat.
Hvordan følger vi leverandøren mellem to audits?
Gennem leverandørens faste rapporter. De kan bruges som bevis, når aftalen fastlægger indholdet om sikkerhed og rytmen, og når leverandøren indestår for rigtigheden.
Skal leverandøren hjælpe, når vores tilsynsmyndighed spørger?
Pligten følger som udgangspunkt af jeres aftale. Skriv et punkt om samarbejde med myndigheder ind, før tilsynet varsler sig.
→ Når tilsynsmyndigheden vil ind
Forberedelse
Hvordan afgrænser vi en leverandøraudit?
Efter leverancen og den kontrakt, der beskriver den. Notér de ydelser, systemer og lokationer, auditten omfatter, dem, den udelader, og grunden.
Hvad måler vi leverandøren imod?
Først og fremmest aftalen og dens bilag. Egne politikker eller en standard kan bruges, hvis parterne er enige om det, og fund mod dem vejer anderledes.
Hvad skal auditplanen til leverandøren indeholde?
Emnerne for auditten, deltagerne fra leverandørens side, de systemer, dokumenter og rum, der skal kunne tilgås, samt tidsplanen.
→ Auditplanen til leverandøren
Hvordan skriver vi en dokumentanmodning?
Hold den kort, giv hvert punkt en begrundelse, og henvis til det sted i aftalen, der giver jer ret til materialet.
Hvad skal vi vide om os selv før en leverandøraudit?
Hvilke ydelser I køber, hvilke data og adgange leverandøren har, hvilke hændelser der har været, og hvilke krav der er aftalt.
Må vi auditere leverandøren uden varsel?
Kun hvis aftalen giver ret til det. I statens kontraktmodel kræver det en velbegrundet mistanke om, at kontrakten ikke overholdes.
Kan en leverandøraudit foregå på afstand?
En stor del kan, fx dokumentgennemgang og interviews over video. Fysiske forhold og bevis, leverandøren ikke vil sende, kræver et besøg.
Hvor begynder vi med en leverandør, vi har arvet?
Find først aftale, bilag og eksisterende dokumentation frem, og afklar leverandørens løfter. Først da er der noget at måle imod.
Spørgeskemaet
Hvordan skriver vi et sikkerhedsspørgeskema, der giver brugbare svar?
Bed om svar, der kan kontrolleres bagefter, fx hvornår noget sidst skete, hvor tit det sker, eller hvilket dokument der beskriver det. Lad hvert spørgsmål pege på et krav i aftalen.
→ Spørgsmål, der kan efterprøves
Hvordan læser vi leverandørens svar?
Som leverandørens beskrivelse af sig selv. Skil de svar, der kan stå alene, fra dem, der skal belægges, før I bruger dem.
Kan vi bruge et standardskema i stedet for vores eget?
Når leverandøren allerede har udfyldt det, og jeres krav kan holdes op mod det. Kravene i jeres egen aftale skal I som regel stadig spørge til selv.
Hvad gør vi, når leverandøren ikke svarer?
Skriv til leverandøren med henvisning til den bestemmelse, der giver jer adgang. Over for en databehandler kan I kræve det tilsyn, der er nødvendigt, eller vælge en tungere form.
Erklæringer og certifikater
Kan en ISAE-erklæring erstatte vores egen audit?
En stor del af den, hvis erklæringen omfatter netop jeres ydelse, ikke er for gammel og har prøvet de kontroller, I hviler på. De otte betingelser fra finanssektoren kan bruges som prøvesten.
→ Kan erklæringen erstatte en audit?
Hvad er komplementære brugerkontroller?
Kontroller, som erklæringen regner med, at I selv udfører. Find dem i erklæringen, sæt en ansvarlig på hver, og hav bevis for, at de køres.
→ Komplementære brugerkontroller
Hvad er forskellen på en type 1- og en type 2-erklæring?
Type 1 beskriver kontrollerne på et tidspunkt, mens type 2 også tester, om de har virket over en periode. Læs perioden og testene, før I lægger vægt på konklusionen.
Hvor står afvigelserne i en revisorerklæring?
I revisors testskema, og de kan findes der, også når konklusionen er ren.
Hvad betyder carve-out i en ISAE 3402-erklæring?
At underleverandørens kontroller er holdt uden for revisors arbejde. Det led skal I så forholde jer til for sig.
→ Underleverandører i erklæringen
Skal vi kræve ISAE 3000 eller ISAE 3402?
I bilag 4.e til K04 dækker ISAE 3000 sikkerhedskravene og databeskyttelsen, mens ISAE 3402 bruges om de faciliteter, kunderne deler. Fordelingen kan bruges af private købere.
Hvad indeholder en NIS2-erklæring fra leverandørens revisor?
Den bygger typisk på en skabelon fra revisorernes brancheorganisation, hvor kontrollerne er eksempler. Det, der faktisk er testet, står i den konkrete erklæring.
Hvordan tjekker vi et ISO 27001-certifikat?
Slå op, at det findes hos udstederen, at udstederen er akkrediteret, og at status er aktiv. Læs derefter gyldighedsområdet mod den ydelse, I køber.
Hvad dækker en SOC 2-rapport?
Rapporten kan omfatte op til fem kategorier, fra sikkerhed til privatliv. Undersøg, hvilke der er med, om testen strækker sig over en periode, og om jeres ydelse indgår.
Hvad viser D-mærket om leverandøren?
At virksomheden har bestået mærkets kontrol af kriterierne for sin gruppe. Det siger ikke noget om jeres konkrete ydelse eller aftalens særlige krav.
Leverandøren vil ikke udlevere sin erklæring. Hvad nu?
Bed om at se materialet uden at få det udleveret, fx ved at læse det hos leverandøren, i et lukket digitalt rum eller som uddrag med overstregninger.
Er en ISAE 3000-erklæring nok som tilsyn med databehandleren?
Det kan den være, når I har kontrolleret, at den dækker jeres ydelse og databehandleraftalens krav. Er risikoen høj, kræver Datatilsynets vejledning en erklæring med høj grad af sikkerhed.
→ ISAE 3000 om databeskyttelse
Er en C5-attestation et certifikat?
Nej. Den er en revisorerklæring målt mod BSI’s kriteriekatalog og gælder kun de navngivne tjenester og regioner.
Auditområderne
Hvordan kontrollerer vi, at fratrådte hos leverandøren har mistet adgangen?
Bed om registeret over tildelte adgange, og hold det op mod en liste over personer, der er stoppet eller har skiftet rolle i en given periode.
Hvad er det bedste bevis for, at leverandørens backup virker?
En dateret gendannelse af netop jeres data, hvor resultatet er skrevet ned. At der tages kopi hver nat, siger intet om, hvorvidt den kan bruges.
Hvordan prøver vi leverandørens underretning ved hændelser?
Læg underretningsplanen, sidste øvelse og de reelle hændelser ved siden af hinanden, og mål dem mod aftalens frist.
→ Hændelseshåndtering og underretning
Hvordan tester vi, om vi kan få loggen fra leverandøren?
Bestil loggen for ét system i et afgrænset tidsrum, tag tid på leveringen, og vurdér, om indholdet kan bære en undersøgelse.
Hvordan kontrollerer vi leverandørens ændringsstyring?
Tag en stikprøve af ændringssager i jeres miljø, og spørg til godkendelse, test før idriftsættelse og muligheden for at rulle tilbage.
Hvordan ved vi, at vores data er adskilt fra andre kunders?
Bed leverandøren beskrive adskillelsen og de komponenter, kunderne deler, og tjek, om de delte dele er omfattet af en erklæring eller et certifikat.
Hvordan auditerer vi underleverandørerne bag leverandøren?
Ved at efterprøve leverandørens eget tilsyn med dem: listen over underleverandører til jeres ydelse, dokumentationen for tilsynet og varslingen ved ændringer.
Hvad bør vi se efter ved et besøg hos leverandøren?
Det, papiret ikke kan vise: styres adgangen til lokalerne, passer udstyret med beskrivelsen, og stemmer forklaringerne med det, I ser? Notér dato, sted og deltagere.
Hvordan ser vi, om sikkerheden hos leverandøren hænger på én person?
Se efter en navngiven ansvarlig med stedfortræder, ledelsens seneste godkendelse af politikken, listen over administratorer og en uafhængig gennemgang.
→ Hænger sikkerheden på én person?
Hvilke fund går igen i leverandøraudits?
Der findes ingen offentlig statistik. Offentliggjorte sager peger på tilsyn med underleverandører, gendannelse fra backup, fælles komponenter og leverandørens kontrol med adgange og ændringer.
→ Fund mellem kunde og leverandør
Leverandørtyperne
Hvad er vigtigst i en audit af driftsleverandøren?
Den adgang, leverandøren har til servere, netudstyr, backup og brugere. Først kontrolleres styringen af adgangen, derefter de enkelte driftsopgaver.
Hvad skal vi spørge en SaaS-leverandør om?
Om adskillelsen fra andre lejere, om hvem hos leverandøren der kan se jeres data, om eksport i et brugbart format og om underleverandørerne bag tjenesten.
Hvordan auditerer vi et softwarehus, der udvikler til os?
Gennem udviklingsprocessen: beskyttelsen af udviklingsmiljøet, adgangen til koden, sikkerhedstesten og godkendelsen af nye versioner.
Hvad er særligt ved en AI-tjeneste som leverandør?
Den kontrolleres som andre databehandlere med tre spørgsmål oveni: bruges jeres data til andet, kan I få logfilerne, og hvem leverer selve modellen.
Skal vi kontrollere rengøring og vagtfirma?
Ja, når de har nøgler, kort og koder til rum med servere eller papirer. En liste over adgange og en samtale klarer som regel det meste.
→ Leverandører med adgang til bygningen
Hvorfor skal webbureauet med på leverandørlisten?
Bureauet har ofte administratoradgang til hjemmesiden, læser henvendelser fra formularer og kan ændre domænets opsætning.
Hvad gør vi, når koncernen er vores IT-leverandør?
Ansvaret for data og drift bliver i datterselskabet, også uden kontrakt. Afklar, hvilken indsigt selskabet kan kræve, og dokumentér den.
Fritager det os, at leverandøren selv er omfattet af NIS 2?
Nej. Leverandørens NIS2-pligter skylder den sin egen myndighed. Til gengæld får I noget konkret at spørge efter.
→ Leverandøren er omfattet af NIS 2
Hvordan kontrollerer vi leverandøren, der destruerer vores diske?
Kræv sporbarhed for hvert medie fra afhentning til en underskrevet attest, der nævner serienummer og metode.
→ Udstyr til genbrug og destruktion
Regler og forsyningskæden
Kan databehandlertilsyn og sikkerhedsaudit klares i ét forløb?
Ja, når leverandøren er begge dele. Besøget og mange beviser kan deles, men de to rapporter holdes adskilt.
Hvorfor spørger revisor til vores outsourcede IT?
Fordi leverandørens ydelser kan indgå i det system, regnskabet bygger på. Leverandørens erklæring er ofte revisors letteste vej til bevis.
Skal vi kende alle underdatabehandlere i kæden?
Efter Databeskyttelsesrådets udtalelse fra oktober 2024 skal identiteten på alle led være tilgængelig. Hvor grundigt hvert led kontrolleres, kan følge risikoen.
→ Hele kæden af underdatabehandlere
Hvornår gælder Cyber Resilience Act for de produkter, vi køber?
Hovedparten af forordningen gælder fra 11. december 2027. Indtil da kan kravene skrives ind i kontrakten.
→ Produkter med digitale elementer
Hvad kræver DORA, før leverandøren bruger underentreprise?
Forordning 2025/532 opstiller ti betingelser, der skal være vurderet på forhånd. Væsentlige ændringer i kæden skal varsles, og kunden har ret til at gøre indsigelse.
Hvorfor vil vores finansielle kunde have så mange oplysninger om os?
DORA pålægger kunden et register over alle IKT-aftaler. Flere felter kan kun udfyldes med jeres hjælp, fx underleverandører og de lande, hvor data behandles.
→ Finanskundens informationsregister
Hvad siger statens vejledning om leverandørforhold?
Den deler forholdet i seks faser. Den femte, styringsfasen, er den mest brugbare for en kunde, der vil kontrollere sine leverandører løbende.
Fund og opfølgning
Hvordan skal rapporten fra en leverandøraudit bygges op?
Så både jeres ledelse og leverandøren kan bruge den: hvert fund knyttet til en bestemmelse i aftalen og underbygget med bevis.
→ Rapporten fra en leverandøraudit
Skal leverandøren se rapporten, før den er endelig?
Ja. Høringen retter faktuelle fejl og giver plads til overset bevis. En vurdering ændres kun med en gyldig grund.
Hvem skriver handlingsplanen efter en leverandøraudit?
Leverandøren, fordi det er den, der skal rette. I følger planen og afgør ud fra det aftalte bevis, hvornår et fund er lukket.
Hvad gør vi, når leverandøren ikke lukker fundene?
Følg op skriftligt, eskalér i aftalens samarbejdsorganisation, og dokumentér hvert skridt med henblik på aftalens regler om misligholdelse.
→ Fund, der ikke bliver lukket
Kan vi acceptere en risiko, kun leverandøren kan fjerne?
Det kan jeres ledelse beslutte. Skriv begrundelsen, en dato for ny vurdering og de aftalepunkter, accepten fører til.
Hvornår bør vi skifte leverandør?
Når fundene viser, at leverandøren varigt ikke lever op til aftalen, eller når ét fund er så alvorligt, at data eller drift ikke kan beskyttes. Ingen regel trækker grænsen.
→ Alvorlige nok til et skifte?
Hvordan rapporterer vi leverandørkontrollen til ledelsen?
Med ét overblik, hvor hver leverandør har én linje bygget på audits, erklæringer og opfølgning.
→ Ét billede af alle leverandører
Leverandørens side
En kunde har varslet audit. Hvor begynder vi?
Find klausulen, som kundens varsel hviler på. Den sætter rammen for kundens adgang, for deltagerne og for de betingelser, I kan stille.
Hvad må en kunde ikke se under en audit?
Andre kunders forhold er den tydeligste grænse. For kildekode og interne vurderinger afhænger grænsen af aftalen.
Hvordan klarer vi mange kundeaudits uden at drukne?
Saml anmodningerne ét sted, tilbyd faste vilkår og en fælles pakke af dokumenter, og læg auditdagene sammen. Processen kan ikke fjerne en ret, aftalen giver kunden.
Giver det mening at få lavet en audit af os selv før kunderne?
Ja, en uvildig forhåndsaudit finder det, der står på papiret uden at kunne bevises, så det kan rettes inden kundens rapport.
Hvordan kommer vi i gang med vores første erklæring?
Vælg formen, beskriv ydelsen og kontrollerne, og gør kontrollerne sporbare, før revisor begynder. Erklæringen afgives af revisoren.
Hvordan svarer vi på kundernes spørgeskemaer?
Et ja skal kunne dokumenteres og have en henvisning til beviset. Stiller flere kunder samme spørgsmål, får de samme svar.
Vi har fået fund i en kundes audit. Hvad gør vi?
Ret faktuelle fejl i udkastet, gør indsigelse med kriteriet eller beviset i hånden, og send en handlingsplan med ejer, dato og lukkebevis.
Driften ligger hos vores underleverandør. Hvem møder kunden?
I står til ansvar for hele leverancen og skal have beviset for kontrollen med underleverandøren klar. Kundens adgang til leddet bag jer følger aftalerne i begge led.
→ Driften hos jeres underleverandør
Hvad skal en lille leverandør uden sikkerhedsansvarlig have styr på?
Syv ting: en navngiven ansvarlig, styr på adgange, log, beskyttede forbindelser, en plan for brud, overblik over underleverandører og en plan for, hvad der sker ved ophør.
Må vi bruge en kundes auditrapport i salget?
Kun efter aftale med kunden, som ejer rapporten. Omtal den som én kundes kontrol af én leverance.
Hvad skal den årlige status til kunderne indeholde?
Status på databehandleraftalens forhold, nye ændringer, brugte underdatabehandlere og eventuelle brud. Hvert punkt bør pege på et bevis.
Slutkunden vil auditere os, men vores aftale er med mellemleddet. Skal vi sige ja?
Kontrollen går som udgangspunkt gennem mellemleddet, men aftalekæden kan give slutkunden adgang. Behandler I personoplysninger, gælder slutkundens instruks.
Ændringer og afgørelser
Hvad skal kontrolleres, når vi skifter leverandør?
Hvem der har ansvaret hvornår, hvem der har adgang, og hvor data og backup ligger, i hele overgangen.
Udløser et opkøb af leverandøren en ny audit?
Det kan det. Datatilsynets vejledning peger på et nyt ejerforhold og mange skift i underleverandører som anledning til hyppigere eller ekstraordinært tilsyn.
→ Ændringer, der udløser ny audit
Hvordan finder vi en underleverandør, flere af vores leverandører deler?
Sammenlign erklæringer og lister over underleverandører på tværs af leverandørerne, og markér de navne, der optræder flere gange.
→ Samme underleverandør bag flere
Hvad kan vi lære af Datatilsynets afgørelser om leverandører?
De viser, hvor kontrollen manglede, fx ved gendannelse, test før idriftsættelse og godkendte underleverandører. Spørgsmålene kan skrives direkte ind i en auditplan.
→ Tre afgørelser om software i drift
Hvordan ser et tilsyn med databehandlere ud, som Datatilsynet ikke kritiserede?
I fire afgørelser fra december 2022 var tilsynet fast hvert år, materialet blev gennemgået, og opfølgningen var dokumenteret.
Hvorfor skal vi tjekke de værktøjer, leverandøren bruger til support?
I en afgørelse fra 2019 stod supportværktøjet ikke på listen over godkendte underdatabehandlere, og videregivelsen var uden hjemmel.
→ Den ikke-godkendte underleverandør
Senest gennemgået: november 2026.
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
Skal en leverandør kontrolleres?
Skriv kort, hvilken leverandør det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Auditten er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
