Når en medarbejder hos leverandøren stopper eller skifter opgave, bør adgangen til jeres data følge med. I kan kontrollere det ved at bede om leverandørens register over tildelte adgange og holde det op mod en liste over de personer, der er fratrådt eller har skiftet rolle i en bestemt periode.
Det er leverandørens egen personaleproces, I efterprøver. Jeres egne brugerkonti og den tekniske opsætning af leverandørens adgang til jeres systemer er et andet emne, som hører under de tekniske kontrolpunkter.
Hvorfor processen hos leverandøren betyder noget for jer
Leverandørens folk har ofte bred adgang: driftsteknikere, supportere, udviklere og konsulenter på skift. Hver person med adgang er et punkt, hvor jeres data kan komme ud. Når en af dem forlader virksomheden, er det leverandøren, der ved det først. I hører det sjældent.
Derfor kan I ikke selv holde styr på det. I kan kun kontrollere, at leverandøren har en proces, og at den bliver fulgt i praksis.
Hvad I kan måle imod
Det første spørgsmål er, hvad aftalen siger. Har I brugt Datatilsynets skabelon til databehandleraftalen, står der i bestemmelse 5, at databehandleren kun må give adgang til personer, der har forpligtet sig til fortrolighed. Skabelonen siger også, at listen over personer med adgang løbende skal gennemgås, og at adgang kan lukkes, når den ikke længere er nødvendig. Databehandleren skal efter anmodning kunne påvise, at personerne har tavshedspligt.
Det giver jer to ting at bede om: listen og påvisningen.
For udbydere af cloud- og administrerede tjenester er der en mere detaljeret målestok. Gennemførelsesforordning (EU) 2024/2690 kræver i bilagets punkt 11.2 af de digitale enheder, den omfatter, at adgangsrettigheder ændres ved ophør eller ændring af ansættelsen, at tredjeparters adgang begrænses i omfang og varighed, og at der føres et register over tildelte rettigheder. Forvaltningen af rettighederne skal logges, og rettighederne skal gennemgås med planlagte mellemrum. Efter punkt 10.3 skal ansvar, der gælder efter ophør, fx fortrolighed, fremgå af kontrakt eller ansættelsesvilkår.
Forordningens anvendelsesområde står i artikel 1 og er snævert. Hører jeres leverandør ikke til dem, kan punkterne bruges som målestok og skrives ind i aftalen. Det er en analogi og ikke et lovkrav.
Stikprøven, trin for trin
Der findes ingen officiel metode til at kontrollere fratrædelser hos en leverandør. En almindelig fremgangsmåde ser sådan ud:
- Bed om en liste over leverandørens medarbejdere og konsulenter, der har haft adgang til jeres data eller miljø i en afgrænset periode, fx de seneste tolv måneder.
- Bed om en liste over dem, der er fratrådt eller har skiftet rolle i samme periode.
- Vælg nogle af dem, og bed om dato for fratrædelse eller rolleskift og dato for lukning af adgangen i registret.
- Bed om uddrag af loggen, der viser lukningen.
- Sammenlign datoerne.
Stikprøven siger noget om, hvor lang tid der går, og om der overhovedet sker noget. Sammenlign med det, I har aftalt. Har aftalen ingen frist, er resultatet en oplysning, I kan bruge til at aftale en.
Et tænkt eksempel: Leverandøren oplyser fem fratrædelser i perioden. I vælger tre. For to af dem ligger lukningen samme dag. For den tredje findes der ingen dato i registret, og leverandøren må undersøge sagen. Det fund er mere værd end en underskrevet erklæring om, at alle adgange lukkes rettidigt.
Tiltrædelser hører med
Fratrædelser får mest opmærksomhed, men samme proces gælder den anden vej. Hvem godkender, at en ny medarbejder får adgang til jeres data? Sker det efter et arbejdsbetinget behov, eller får alle i driftsafdelingen samme rettigheder? Og er fortrolighedserklæringen underskrevet, før adgangen åbnes?
Stikprøven kan vendes om. Vælg nogle personer på den aktuelle adgangsliste, og bed om dokumentation for, hvornår og af hvem adgangen blev godkendt.
Rolleskift er det svære
Den, der forlader virksomheden, bliver typisk spærret i lønsystemet og dermed også i de centrale systemer. Den, der skifter fra jeres driftsteam til et andet kundeteam, beholder ofte sine gamle rettigheder, fordi ingen har en grund til at tage dem.
Spørg derfor specifikt efter rolleskift. Bed om at se, hvordan leverandøren opdager, at en person ikke længere arbejder med jeres leverance. Er svaret, at teamlederen giver besked, kan I spørge, hvordan det kontrolleres, at beskeden bliver givet.
Når samarbejdet ophører
Statens vejledning om cybersikkerhed i leverandørforhold, som også er skrevet til virksomheder, siger, at kunden bør fjerne alle leverandørens fysiske og logiske adgangsrettigheder rettidigt, når samarbejdet ophører. Det er en anden situation end den enkelte medarbejders fratrædelse, men kontrollen ligner: en liste, en dato og et bevis. Ophøret er beskrevet under audit ved kontraktophør.
Hvad det kræver, og hvad det koster at lade være
Det kræver en bestemmelse i aftalen, der giver jer ret til at se adgangslisten, og at leverandøren kan trække et register med datoer. Hos en leverandør med få ansatte kan kontrollen klares på et kort møde.
Uden kontrol ved I ikke, om tidligere ansatte hos leverandøren stadig kan logge ind i jeres miljø. Opdager I det først efter en hændelse, har I svært ved at dokumentere, at I har ført tilsyn.
Det skal I lade være med
- At nøjes med leverandørens forsikring om, at adgange lukkes · bed om datoer og log for udvalgte personer.
- At glemme rolleskift · det er dér, rettighederne oftest bliver hængende.
- At kræve hele personalelisten med personoplysninger · en stikprøve med det nødvendige er nok.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelse om adgang, fortrolighed og gennemgang af adgangslisten.
- ☐ Leverandørens adgangsliste for jeres leverance på en given dato.
- ☐ Stikprøven: personer, datoer for fratrædelse eller rolleskift og datoer for lukning.
- ☐ Uddrag af log eller register, der viser lukningen.
- ☐ Påvisning af fortrolighed for personer med adgang.
- ☐ Leverandørens svar på de afvigelser, stikprøven viste.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 10.3 og 11.2, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 5, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om adgangslisten for jeres leverance og en liste over fratrædelser og rolleskift i det seneste år.
Læs også: Konsulenter og freelancere med adgang · Dokumentanmodningen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
