Efter en leverandøraudit er det leverandøren, der udarbejder handlingsplanen, fordi det er leverandøren, der skal rette. Kunden modtager planen, følger den og afgør ud fra aftalte beviser, hvornår et fund er lukket. Den vigtigste linje i planen er derfor den, der siger, hvilket bevis der lukker fundet.
Hvordan en handlingsplan bygges op generelt, står under planer efter en almindelig sikkerhedsaudit. Denne artikel ser på planen, når en ekstern leverandør skal rette.
K04’s model: leverandørens plan og revisors bekræftelse
K04, statens standardkontrakt for drift, har en præcis model i punkt 15. Har leverandørens revisor bemærkninger i den årlige erklæring, skal erklæringen suppleres af revisors samlede revisionsgrundlag og en fyldestgørende handlingsplan, som leverandøren udarbejder. Planen skal beskrive, hvordan og hvornår forholdet foreslås bragt i orden. Planen skal ligge hos kunden senest 10 arbejdsdage efter erklæringen, og kunden kan være med til møderne med revisor og få uddybet det, der er uklart.
Et forhold tæller i K04 først som løst, når en opdateret erklæring fra revisor viser det og er afleveret til kunden. Fristen følger kontrakten. Står der intet, er rettesnoren en rimelig tid, målt efter hvor væsentligt forholdet er.
To ting er værd at bemærke. K04 bruger ikke ordet godkende om kundens rolle. Kunden modtager planen og kan stille spørgsmål. Og lukningen afhænger af et uafhængigt bevis, nemlig revisors opdaterede erklæring. K04 er statens kontrakt. For en privat kunde er den en model, der kan skrives ind i aftalen.
Kundens rolle uden for K04
Har jeres aftale ingen tilsvarende bestemmelse, giver andre kilder retning. I anbefaling 5.4 i statens leverandørvejledning står der, at parterne efter en fælles risikovurdering bliver enige om handleplaner, og at kunden holder øje med, at de bliver gennemført.
Ordningen med en plan, som leverandøren ejer, og som kunden godkender, er praksis. Den er afledt af K04’s fordeling af roller. En godkendelse hos kunden forudsætter, at den er aftalt, så vil I godkende planen, skal det stå i aftalen.
Finansielle virksomheder skal i deres politik, jf. artikel 9, stk. 4, i forordning 2024/1773, fastlægge foranstaltninger, når der konstateres mangler hos leverandøren, og hvordan gennemførelsen overvåges. Det skal ske inden for en fastsat tidsramme, der tager hensyn til manglernes væsentlighed. For andre virksomheder er det en målestok.
Felterne i planen
Anerkendt praksis, bl.a. NIST’s plan med milepæle og standarderne for intern revision, beskriver en plan med ansvarlige og planlagte datoer. Omsat til en leverandørplan giver det disse felter. Det udfyldte eksempel er tænkt.
- (L-04: gendannelse ikke testet) · Kriterium i aftalen: (Bilag 3, punkt 7) · Handling: (Testet gendannelse af kundens database) · Ansvarlig hos leverandøren: (Driftschef) · Milepæle og slutdato: (Procedure i marts, test i april) · Lukkebevis: (Testrapport med dato, data og resultat) · Kundens opfølgning: (Kunden ser rapporten og vælger en dato for stikprøve)
Felterne “Kriterium i aftalen” og “Lukkebevis” er dem, der skiller en leverandørplan fra en intern plan. Det første binder handlingen til en pligt. Det sidste gør det muligt at afgøre, hvornår pligten er opfyldt.
Når en anden end leverandøren skal handle
Nogle fund kan leverandøren ikke rette alene. Ligger fejlen hos en underleverandør, står handlingen alligevel i leverandørens plan. Efter K04 hæfter leverandøren for det, underleverandørerne leverer, på samme måde som for egne ydelser (punkt 10), og den årlige revision efter punkt 15 omfatter også underleverandører. Planen bør derfor nævne underleverandøren og leverandørens egen opfølgning på den.
Andre fund kræver noget af jer, fx at I selv godkender brugeroprettelser eller retter en opsætning, I styrer. De handlinger hører hjemme i en særskilt linje med en ansvarlig hos jer. Ellers kan et fund stå åbent i leverandørens plan, fordi kunden ikke har gjort sin del.
Bevis for lukning
Anerkendt praksis er, at lukningen kræver samme bevis som auditten, og at en forespørgsel alene ikke er nok. En e-mail fra leverandøren om, at fundet er rettet, lukker ikke fundet. En testrapport, et udtræk eller en opdateret erklæring kan.
Aftal bevisformen, når planen modtages, og skriv den i planens kolonne for lukkebevis. Så er der ingen diskussion bagefter om, hvad der skulle til.
Fristerne
Kontrakten kan have frister for udbedring. Har den ingen, kan K04’s rettesnor om en rimelig tid efter forholdets væsentlighed bruges. Sæt kortere frister for fund, der rammer jeres vigtigste data og systemer, og skriv milepæle ind, så I kan se, om arbejdet er i gang, før slutdatoen. En frist, ingen af parterne har sat folk og tid af til, holder sjældent i praksis.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale om, at leverandøren udarbejder planen inden for en frist, at kunden kan stille spørgsmål eller godkende, og at lukning sker på bevis. Det kræver også en person hos jer, der følger planen.
Uden en plan bliver fundene liggende, og ved næste audit står de samme fund igen. Uden aftalt lukkebevis bliver hvert fund en diskussion om, hvornår det er rettet.
Det skal I lade være med
- At lukke fund på leverandørens ord · lukningen kræver bevis.
- At skrive, at I godkender planen, uden at det står i aftalen · K04 bruger ikke ordet.
- At acceptere en plan uden milepæle · så ser I først ved slutdatoen, at intet er sket.
Det skal auditten kunne vise
- ☐ En handlingsplan fra leverandøren med henvisning til aftalens krav for hvert fund.
- ☐ Ansvarlig, milepæle og slutdato for hver handling.
- ☐ Et aftalt lukkebevis for hvert fund.
- ☐ Kundens opfølgning og spørgsmål dokumenteret.
- ☐ Lukkede fund med det bevis, der lukkede dem.
Kilder
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 10 og 15, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.4, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 9, stk. 4, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 14.4 og 15.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om en plan med et lukkebevis for hvert fund, og aftal bevisformen, før arbejdet begynder.
Læs også: K04’s punkt 15 og 16 og bilag 4.e · Leverandøren fik fund
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
