Om leverandøren giver jer besked i tide, kan I efterprøve ved at holde tre ting op mod hinanden: den plan, der beskriver, hvordan kunder underrettes, den seneste øvelse og de hændelser, der faktisk har været. Målestokken er den frist, der står i jeres aftale.
En leverandør har ingen frist over for jer i loven. Fristen følger af aftalen. Står der ingen, er det første fund.
Hvorfor fristen ligger i aftalen
Er I omfattet af NIS 2, har I selv frister over for myndigheden ved væsentlige hændelser. Styrelsen for Samfundssikkerhed skriver i sin vejledning om hændelsesunderretning, at ansvaret for rettidig underretning altid påhviler enheden, også når leverandøren underretter på dens vegne. Fristerne gælder jer over for myndigheden. De gælder ikke leverandøren over for jer.
Det samme gælder persondata. Databeskyttelsesforordningens artikel 33 giver den dataansvarlige pligt til at anmelde et brud, om muligt senest 72 timer efter, at man er blevet bekendt med det. Datatilsynets skabelon til databehandleraftalen siger i bestemmelse 9, at databehandleren underretter uden unødig forsinkelse og om muligt inden for et antal timer, som parterne selv udfylder. Feltet er tomt i skabelonen. Er det også tomt i jeres aftale, har I ikke noget tal at kontrollere imod.
Fristen i artikel 33 kan ændre sig. Kommissionen foreslog 19. november 2025 i den såkaldte digitale omnibus, COM(2025) 837, at kun brud, der sandsynligvis medfører en høj risiko for de registrerede, skal anmeldes, og at fristen bliver 96 timer gennem et fælles indberetningspunkt. Det er foreslået, ikke vedtaget (status 13. november 2026). Bliver forslaget til lov, ændrer det jeres egen frist over for Datatilsynet, ikke den frist, I har aftalt med leverandøren. Sæt derfor tallet i aftalen ud fra den tid, I selv skal bruge til vurdering og anmeldelse, og se det efter, hvis reglen ændres.
Ifølge statens vejledning om cybersikkerhed i leverandørforhold bør aftalen omfatte leverandørens pligt til at underrette kunden om forhold, der kan påvirke sikkerheden, og parternes procedurer for hændelseshåndtering, herunder regelmæssig test af beredskabsplaner.
Er leverandøren selv en udbyder af cloud- eller administrerede tjenester, gælder gennemførelsesforordning (EU) 2024/2690. Dens bilag, punkt 5.1.4 under litra d, kræver, at udbyderens egne kontrakter angiver en pligt til at underrette uden unødig forsinkelse. Over for andre leverandører er det en målestok.
Tre kilder til bevis
Planen. Bed om den del af leverandørens procedure, der handler om kunder. Hvem hos leverandøren beslutter, at en kunde skal have besked? Hvem hos jer får den? Hvilke oplysninger følger med? Sikkerdigitals vejledning til leverandørskemaet siger, at en beredskabsplan som minimum bør indeholde en eskalationsprocedure, et kontaktpunkt og en responstid.
Øvelsen. Bed om dato, scenarie og evaluering af den seneste øvelse. Indgik underretning af kunder i scenariet? Statens vejledning nævner beredskabsøvelser med kunden som deltager eller observatør blandt eksemplerne på kontrol. Det kan aftales.
De faktiske sager. Det stærkeste bevis er det, der skete sidst. I Datatilsynets tilsynsvejledning fra oktober 2021 står, at kunden ved tilsyn skal spørge, hvilke brud der har været siden sidste tilsyn. Tilsynet tilføjer, at kunden skal sikre sig, at databehandleren forstår, hvad et brud omfatter, også når data blot er utilgængelige efter et nedbrud.
Sammenlign tidsstemplerne
En almindelig fremgangsmåde er at tage leverandørens egen sag og se på to tidspunkter. Hvornår opdagede leverandøren hændelsen? Hvornår fik I besked? Forskellen holdes op mod aftalens frist.
Et tænkt eksempel: Leverandørens sagssystem viser, at et uautoriseret login blev opdaget en mandag morgen. Jeres kontaktperson fik en mail onsdag eftermiddag. Aftalen siger 24 timer. Det er et fund, også selv om hændelsen viste sig at være harmløs.
Metoden kræver, at I får adgang til leverandørens tidsstempler. Står retten til oplysninger i aftalen, har I et grundlag for at bede om dem. Ellers kan I starte med jeres egne: datoen på den mail, I modtog, og leverandørens skriftlige forklaring.
Hvad tæller som en hændelse?
Uenighed om, hvad der skulle have været meldt, er et kendt problem. En leverandør kan mene, at et nedbrud på to timer var drift og ikke sikkerhed. For jer kan det være et brud på tilgængeligheden.
Datatilsynets bemærkning om utilgængelighed er værd at bruge her. Spørg leverandøren, hvilke typer hændelser der udløser underretning til kunder, og hold svaret op mod jeres egne pligter. Passer de ikke sammen, skal definitionen i aftalen rettes.
Når leverandøren også håndterer jeres egen indberetning
Nogle leverandører tilbyder at indberette på kundens vegne. Det kan være praktisk. Ansvaret forbliver jeres. Kontrollér derfor, at leverandøren kan levere de oplysninger, I skal bruge til en indberetning, og at I får dem i en form, I kan videregive. Den del af jeres egen NIS2-proces er beskrevet på siden om kundens egen NIS2-audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver en frist i aftalen, en navngiven modtager hos jer og adgang til leverandørens sager om hændelser, der har ramt jeres data eller ydelse. Gennemgangen kan ofte klares på et møde, hvor leverandøren viser sine seneste sager.
Uden kontrol opdager I måske først en forsinket underretning, når jeres egen frist over for myndigheden er overskredet. Så hjælper det lidt, at forsinkelsen lå hos leverandøren.
Det skal I lade være med
- At lade timefeltet i databehandleraftalen stå tomt · uden tal er der intet at kontrollere.
- At nøjes med at læse planen · de faktiske sager viser, om den bliver fulgt.
- At gå ud fra, at leverandøren deler jeres definition af en hændelse · få den skrevet ind.
Det skal auditten kunne vise
- ☐ Aftalens frist for underretning og den definition af hændelse, den bygger på.
- ☐ Leverandørens procedure for underretning af kunder med kontaktpunkt og eskalation.
- ☐ Dato, scenarie og evaluering af seneste øvelse.
- ☐ Liste over hændelser og brud siden sidste kontrol.
- ☐ Sammenligning af opdagelsestidspunkt og underretningstidspunkt for de seneste sager.
- ☐ Opfølgning på afvigelser fra aftalens frist.
Kilder
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 9, læst 12. november 2026.
- Rådet for Den Europæiske Union, ST 15698/25 med Kommissionens forslag COM(2025) 837 (digital omnibus), forslag til ændring af artikel 33 i forordning (EU) 2016/679, læst 13. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3 og 4, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4 og 5.3, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), pkt. 2.D og 4.D, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.1.4, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kap. 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find fristen for underretning i jeres aftale, og bed leverandøren om de seneste sager, der har berørt jer, med tidsstempler.
Læs også: Audit efter en sikkerhedshændelse hos leverandøren · Leverandørens beredskab og driftskontinuitet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
