En fortrolighedsaftale ved audit hos leverandøren bør være på plads, før auditoren ser noget. Den skal dække, hvad auditoren må se og tage med, hvilke sikkerhedsforskrifter der gælder under besøget, og hvad der sker med leverandørens materiale, når rapporten er skrevet.
Det særlige ved en leverandøraudit er, at der er tre parter. I bestiller, auditoren udfører, og materialet tilhører leverandøren. Leverandøren har ikke valgt auditoren og har ikke nødvendigvis en aftale med den. Derfor er det jeres aftale med leverandøren, der skal bære reglerne.
Hvad statens kontraktmodel siger
K04, statens kontrakt for it-drift, er skrevet til offentlige kunder, men den er en brugbar model for private. Punkt 16 om audit giver leverandøren ret til at kræve to ting, før auditten begynder. Auditøren skal underskrive en sædvanlig fortrolighedserklæring, og auditøren skal overholde leverandørens sikkerhedsforskrifter.
K04 sætter også grænser for, hvem auditøren må være. Kundens auditører skal komme udefra, være uvildige og have anerkendelse som auditører af netop de ydelser, kontrakten dækker. Leverandøren kan ikke uden saglig grund modsætte sig kundens valg, men auditøren må ikke være en konkurrent til leverandøren.
Punkt 52 om tavshedspligt går den anden vej. Konsulenter og andre, der hjælper kunden, får en tilsvarende tavshedspligt om leverandørens forhold. Pligten gælder også, efter at kontrakten er ophørt.
Statens vejledning om cybersikkerhed i leverandørforhold nævner i sin oversigt over kontraktkrav parternes gensidige tavshedspligt, som også omfatter underleverandører.
Hvad auditoren må se, og hvad der bliver hos leverandøren
En leverandør har andre kunder. Det, der vises jer, må ikke afsløre deres data eller sikkerhedsforhold. Flere kilder viser, hvordan det hensyn er håndteret andre steder.
EU-Kommissionens standardbestemmelser for databehandlere lader databehandleren redigere en kopi af underdatabehandleraftalen for at beskytte forretningshemmeligheder. DORA gælder for finansielle virksomheder. Ved kritiske eller vigtige funktioner lader forordningen parterne finde et andet sikkerhedsniveau for kontrollen, når den ellers ville gå ud over leverandørens øvrige kunder. I bilindustriens ordning TISAX bestemmer den vurderede leverandør, hvor meget den enkelte partner får adgang til, og bevis, leverandøren ikke vil sende, kan ses ved et besøg uden at blive udleveret.
Ingen af dem gælder for jeres aftale, medmindre I skriver det ind. De viser til gengæld, at indsigt uden kopi er en almindelig løsning. Leverandørens side af samme sag er beskrevet under hvad kunden må se.
Aftalepunkterne før adgang
Ud fra K04 og almindelig praksis kan en aftale om auditorens adgang indeholde disse punkter. Listen er vores sammenfatning og ikke en juridisk skabelon.
- Hvem · Hvad der aftales: Navngivne auditorer og deres uafhængighed af leverandøren · Tænkt eksempel: (To navngivne personer, ingen tilknytning til leverandørens konkurrenter)
- Fortrolighed · Hvad der aftales: Erklæring, som auditoren underskriver over for leverandøren · Tænkt eksempel: (Leverandørens standarderklæring, gennemlæst af jer)
- Sikkerhedsforskrifter · Hvad der aftales: Adgangskort, ledsagelse, forbudte områder, egne enheder · Tænkt eksempel: (Ledsaget adgang til driftsrum, ingen fotos)
- Indsigt eller kopi · Hvad der aftales: Hvad der kun vises på skærm, og hvad der udleveres · Tænkt eksempel: (Andre kunders data vises aldrig; politikker udleveres)
- Fjernadgang · Hvad der aftales: Hvordan fjernmøder og deling af skærm sikres · Tænkt eksempel: (Leverandørens mødesystem, ingen optagelse)
- Materialet bagefter · Hvad der aftales: Opbevaring, returnering eller sletning, og hvornår · Tænkt eksempel: (Arbejdspapirer slettes, når rapporten er godkendt)
- Rapporten · Hvad der aftales: Hvem der modtager den, og om leverandøren får den · Tænkt eksempel: (Kunden og leverandøren, ikke tredjemand)
Hvis leverandøren afviser auditoren
K04 giver ikke leverandøren frit valg. Leverandøren kan kun modsætte sig kundens auditør, hvis der er en saglig grund, og auditøren opfylder kravene om at være ekstern, uvildig og anerkendt. Kontrakten udelukker selv auditører, der er konkurrenter til leverandøren.
En leverandør, der siger nej, bør derfor kunne forklare hvorfor. Er grunden fortrolighed, kan den ofte løses med erklæringen og forskrifterne ovenfor. Er grunden, at auditoren arbejder for en konkurrent, er den saglig efter K04, og I må finde en anden. Står der intet om auditorens person i jeres aftale, er det en forhandling, og det kan betale sig at tage den, før auditten er varslet.
Efter Databeskyttelsesrådets retningslinjer må en databehandler gerne foreslå en auditor, men det endelige valg ligger hos den dataansvarlige. Retningslinjerne er en fortolkning og angår kun leverandører, der behandler personoplysninger for jer.
Materialet efter auditten
Ingen af de kilder, vi har læst, regulerer, hvad auditoren skal gøre med leverandørens materiale, når auditten er slut. Det er et aftalepunkt og praksis. Netop derfor bør det stå skriftligt.
En almindelig model er at skelne mellem tre slags materiale. Rapporten tilhører jer som bestiller. Auditorens arbejdspapirer, noter og skærmbilleder ligger hos auditoren og har en aftalt opbevaringstid. Kopier af leverandørens dokumenter returneres eller slettes, når rapporten er færdig, og sletningen bekræftes skriftligt.
Spørgsmålet om, hvorvidt auditoren bliver databehandler, når der indgår personoplysninger i materialet, er ikke undersøgt her. Er det aktuelt, bør det afklares særskilt.
Når auditoren er jeres egen
Hvis auditoren er en ekstern rådgiver, I har hyret, har I også en aftale med den. Den aftale bør afspejle de løfter, I har givet leverandøren. Ellers har I lovet leverandøren tavshed, som jeres rådgiver ikke er bundet af. Aftalen med jeres egen auditor som sådan er et alment emne og beskrives under aftalen med auditor. Offentlige kunders tilsvarende regler hører til audit i den offentlige sektor.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at fortrolighed og adgangsregler aftales i god tid, så de ikke forhandles på auditdagen. Leverandøren skal have set navnene på auditorerne.
Uden aftalen kan leverandøren med god grund nægte adgang til netop det, der skulle kontrolleres. Og efter auditten ligger leverandørens fortrolige materiale hos en tredjepart, ingen har aftalt noget med.
Det skal I lade være med
- At sende en auditor uden underskrevet fortrolighedserklæring · leverandøren kan med rette afvise adgang.
- At bede om kopi af alt · indsigt på stedet er ofte nok og lettere at få.
- At glemme materialet efter rapporten · aftal opbevaring og sletning fra start.
Det skal auditten kunne vise
- ☐ Den underskrevne fortrolighedserklæring og de sikkerhedsforskrifter, auditoren fulgte.
- ☐ En liste over materiale, der blev udleveret, og materiale, der kun blev vist.
- ☐ Aftalen om opbevaring, returnering eller sletning af leverandørens materiale.
- ☐ Bekræftelse af sletning, når fristen er nået.
- ☐ Hvem der har modtaget rapporten.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 16 og 52, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, afsnit 3 og vurderingsniveauer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de syv punkter i tabellen ind i jeres næste auditvarsel, og lad leverandøren svare på dem, før datoen ligger fast.
Læs også: Fjernaudit eller besøg hos leverandøren · Kundens auditrapport om jer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
