Før kontrakten er underskrevet, kan I kun se det, leverandøren allerede har dokumenteret, og det, den vil vise frivilligt. Alt, der kræver adgang til leverandørens systemer, folk og lokaler i aftaleperioden, skal sikres som en ret i aftalen, før I skriver under.
Grænsen mellem de to er vores egen sammenfatning. Den hjælper med at bruge tilbudsfasen på det, der kan efterprøves nu, og forhandlingen på det, der kun kan kontrolleres senere.
Det, der kan kontrolleres nu
I tilbudsfasen har leverandøren en interesse i at vise sig frem. Derfor er det et godt tidspunkt at få dokumentation.
Erklæringer og certifikater. En uafhængig revisors erklæring eller et certifikat viser, hvad en tredjepart har set. Læs omfanget og perioden, og hold dem op mod den ydelse, I køber. Ifølge Databeskyttelsesrådets (EDPB) retningslinjer viser en databehandler sine garantier ved at dele dokumenter som politikker, eksterne auditrapporter og anerkendte certificeringer, fx efter ISO 27000-serien.
Leverandørens svar på konkrete spørgsmål. Datatilsynet anbefaler i sin vejledning om cloud, at man screener leverandører på forhånd og tager udgangspunkt i den databehandleraftale, man regner med at indgå. Et af spørgsmålene på tilsynets liste er, om leverandøren har en procedure for at bistå ved kundens tilsyn eller ved revision udført af uafhængige tredjemænd, fx revisorer.
Økonomi, ejerforhold og underleverandører. Statens vejledning om cybersikkerhed i leverandørforhold nævner dem som forhold at vurdere ved leverandørvalget sammen med størrelses- og afhængighedsforholdet mellem parterne.
Viljen til at lade sig efterse. Samme vejledning nævner leverandørens villighed til at samarbejde og til at lade sig efterse eller revidere. Den vilje kan prøves nu. Spørg, hvordan de plejer at håndtere kundeaudits, hvem der er kontaktperson, og læs deres standardvilkår om revision.
Bed om dokumenterne skriftligt, og gem dem med dato. Et certifikat, der var gyldigt ved tilbuddet, kan være udløbet, når aftalen træder i kraft, og en erklæring dækker en periode, der allerede er forbi. Notér derfor også, hvornår næste udgave forventes. Det er den første dato i jeres plan for kontrol i aftaleperioden.
Det, der kræver en ret i aftalen
Det meste af det, en audit undersøger, findes først, når ydelsen er i drift: hvem der har adgang til jeres data, om ændringer bliver testet, om backup kan gendannes, om underleverandørerne holder kravene. Det kan ikke kontrolleres før start. Det kan kun gøres muligt.
Statens vejledning råder til, at aftalen giver kunden ret til kontrol, enten selv eller gennem en tredjepart, med leverandørens hjælp til adgang og papirer og med rækkevidde ned til underleverandørerne. Elementerne i en brugbar klausul står i vores gennemgang af revisionsretten.
- Erklæringens omfang og periode · Om kontrollerne virker for jeres ydelse
- Certifikatets gyldighed og omfang · Adgang til jeres data hos leverandøren
- Svar på et screeningsskema · Stikprøver på svarene i drift
- Liste over underleverandører · Kontrol hos underleverandørerne
- Standardvilkår om revision · Audit med varsel og uden varsel
- Ejerforhold og økonomi · Kontrol ved ændringer og ophør
Når regelsæt kræver vurderingen
For nogle virksomheder er vurderingen før aftalen et krav. DORA gælder for finansielle enheder, og den delegerede forordning 2024/1773 kræver, at de før aftalen vurderer, om leverandøren accepterer ordninger, der faktisk gør revision mulig, også på stedet. Gennemførelsesforordning 2024/2690 kræver af bl.a. cloud- og hostingudbydere, at deres kriterier for leverandørers cybersikkerhedspraksis indgår i valget af nye leverandører.
For alle andre er de to regelsæt en målestok. Spørgsmålet fra DORA er godt at stille alle leverandører: vil I acceptere en revisionsret, der rent faktisk kan bruges?
Hvad et nej fortæller
Afviser leverandøren enhver revisionsret, har I tre muligheder. I kan acceptere leverandørens erklæringer som eneste grundlag, hvis de dækker jeres ydelse. I kan forhandle en smallere ret, fx ret til at anfægte omfanget af erklæringen. Eller I kan vælge en anden leverandør.
Er leverandøren databehandler, er retten efter vores læsning ikke til forhandling. Databeskyttelsesforordningens artikel 28, stk. 3, litra h, kræver, at databehandleraftalen giver mulighed for revisioner, herunder inspektioner. Hvordan databehandleres standardvilkår kan begrænse retten, er et emne for sig.
Med en meget stor modpart er der sjældent meget at forhandle, se kontrol af en stor leverandør.
Gem vurderingen sammen med kontrakten
Det, I fandt før underskrift, er udgangspunktet for den første kontrol i aftaleperioden. Læg screeningsskemaet, svarene, de erklæringer, I læste, og jeres noter om dækningen i samme mappe som kontrakten. Skriv også, hvad I ikke kunne få belyst, og hvilken bestemmelse i aftalen der skal dække det. Så ved den, der overtager leverandøren om tre år, hvad der blev lovet, og hvad der stadig mangler at blive efterprøvet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at screeningen sendes, før der vælges, at nogen læser erklæringerne mod den konkrete ydelse, og at revisionsretten står på listen over forhandlingspunkter fra start. Den, der forhandler aftalen, bør vide, hvilke kontroller den sikkerhedsansvarlige regner med at kunne gennemføre senere.
Uden en ret i aftalen er kontrollen afhængig af leverandørens velvilje i hele aftaleperioden. Det er svært at få retten ind senere, når forhandlingskraften er brugt.
Det skal I lade være med
- At tage et certifikat som svar på alt · det dækker sit eget omfang og intet andet.
- At udskyde revisionsretten til et senere tillæg · den er lettest at få før underskrift.
- At glemme underleverandørerne · retten bør række ned i kæden.
Det skal auditten kunne vise
- ☐ Screeningsskema og leverandørens svar med dato.
- ☐ Erklæringer og certifikater, der er læst, og jeres vurdering af dækningen.
- ☐ Revisionsretten i den underskrevne aftale.
- ☐ Liste over underleverandører på aftaletidspunktet.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 3.1 og 4.1, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 95, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 6, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilagets punkt 5.1.2 og 5.1.5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg spørgsmålet om procedure for kundeaudits ind i jeres næste screeningsskema.
Læs også: Sikkerhedsbilaget som auditgrundlag · Hvem betaler for auditten?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
