En kunde, der auditerer jer, har krav på det, aftalen og loven giver, og det er ofte mere end det, I helst vil vise. Der findes få faste grænser i kilderne. Den tydeligste er andre kunders forhold, mens grænserne for kildekode og interne vurderinger afhænger af, hvad der er aftalt.
Artiklen er skrevet til leverandøren. Den gennemgår de grænser, der har en kilde, og markerer, hvor resten er et spørgsmål om aftale. Det er ikke juridisk rådgivning.
Udgangspunktet er bredt
Er I databehandler for kunden, følger det af litra h i forordningens artikel 28, stk. 3, at kunden skal have “alle oplysninger, der er nødvendige for at påvise” artiklens krav overholdt. Bestemmelsen er skrevet ind i enhver databehandleraftale.
Driftskontrakten K04, som staten bruger, går endnu længere i punkt 16. Efter bestemmelsen giver leverandøren auditøren “adgang til alle data relateret til Systemet mv.”. K04 er en offentlig kontrakt, og bestemmelsen binder kun jer, hvis jeres aftale har den med.
Samspillet kan læses sådan, og det er en tolkning: fortrolighed er ikke en grund til at holde oplysninger tilbage, som kunden har brug for til at påvise, at behandlingen overholder reglerne. En grænse, I sætter, skal kunne forenes med den pligt.
Andre kunders forhold
Den grænse, der har den klareste støtte, er beskyttelsen af andre kunder. K04’s punkt 52 pålægger leverandøren “ubetinget tavshed” om kundens og brugernes forhold, om kundens øvrige leverandørers forhold “eller andres forhold”. En auditor, der kræver at se en anden kundes konfiguration, logudtræk eller sager, beder om noget, I har pligt til at beskytte over for den anden kunde.
DORA har en tilsvarende tanke for finansielle kunder. Artikel 30, stk. 3, litra e, nr. ii, giver ret til at nå til enighed om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes. Under samme litra har den finansielle kunde efter nr. i en “uindskrænket” adgangs-, inspektions- og revisionsret. Over for en finansiel kunde drejer forhandlingen sig derfor mest om formen på adgangen.
I praksis betyder det, at delte systemer vises på en måde, der kun afslører den auditerende kundes data. Det kan være et udtræk, filtreret på kundens id, eller en visning på skærmen, hvor andre kunders felter er skjult. Forbered det inden auditten.
Hvem auditoren er
K04’s punkt 16 giver leverandøren ret til at modsætte sig kundens valg af auditor, men kun med saglig grund, og nævner udtrykkeligt, at auditørerne ikke må være konkurrenter til leverandøren. Efter bestemmelsen bruger kunden eksterne og uvildige auditører, og leverandøren kan forlange en sædvanlig fortrolighedserklæring og, at sine sikkerhedsforskrifter overholdes.
Uden en sådan bestemmelse er der ingen kilde, der giver jer ret til at afvise en bestemt auditor. Ønsker I den ret, skal den forhandles ind. Udtrykket “saglig grund” kan heller ikke overføres til andre spørgsmål end valget af auditor. Det står kun dér i K04.
Kildekode
Ingen af kilderne siger, at kildekode altid kan holdes tilbage, og ingen siger, at kunden altid kan få den. Det er et aftalespørgsmål. Er kildekoden nødvendig for at påvise et krav i aftalen, fx at en bestemt kontrol er bygget ind, vejer kundens behov tungere. Er spørgsmålet, om koden er skrevet sikkert, kan bevis ofte gives på anden måde.
Mulige mellemveje, der er praksis og ikke regel:
- Kodegennemgang hos jer, uden at koden forlader huset.
- Resultater af egne kodeanalyser og test i stedet for selve koden.
- Gennemsyn foretaget af kundens uvildige auditor under fortrolighed, hvor kunden kun får konklusionen.
Hvilken model I tilbyder, bør stå i jeres egne vilkår for kundeaudits. Se kundeaudits som fast proces.
Interne risikovurderinger og hændelsesrapporter
Jeres risikovurderinger viser, hvor I selv mener, I er svagest. Det gør dem følsomme, også over for en kunde. Kilderne siger ikke noget om, at de er undtaget. Indgår de i det, kunden har brug for til at påvise overholdelse, fx fordi aftalen henviser til jeres risikobaserede sikkerhed, er det svært at holde dem helt tilbage.
Mellemvejen er at vise det, der vedrører kundens ydelse, og at vise det hos jer. En hændelsesrapport kan vises i en udgave, hvor andre berørte kunder er fjernet. Kunden ser i det tilfælde behandlingen af sin egen sag.
Når I siger nej
Begrund afslaget skriftligt, og henvis til den bestemmelse eller det hensyn, det bygger på. Tilbyd samtidig en anden måde at få beviset på. Et nej uden alternativ bliver ofte til et fund i kundens rapport, og kunden kan have pligt til at gå videre med det over for sin egen tilsynsmyndighed.
Købers side af samme situation står i indsigt uden kopi.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I har gennemgået jeres aftaler og ved, hvad hver kunde har ret til. Det kræver også, at de tekniske muligheder for filtrerede udtræk og skjulte felter findes, før de skal bruges.
Uden en plan ender grænserne med at blive trukket på selve dagen. Enten viser I for meget og bryder tavshedspligten over for andre kunder, eller I afviser noget, kunden har krav på.
Det skal I lade være med
- At afvise med henvisning til fortrolighed alene · kunden kan have krav på oplysningerne for at påvise overholdelse.
- At vise delte systemer ufiltreret · andre kunders forhold er beskyttet.
- At bruge “saglig grund” om alt · udtrykket gælder i K04 kun valget af auditor.
Det skal auditten kunne vise
- ☐ En oversigt over, hvad hver aftale giver kunden ret til at se.
- ☐ Udtræk og visninger, der kun viser den auditerende kundes data.
- ☐ Skriftlige begrundelser for afslag med et tilbud om anden dokumentation.
- ☐ Fortrolighedserklæringer fra auditorer, hvor aftalen giver ret til dem.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra h, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 16 og 52, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, litra e, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå jeres aftaler igennem, og notér for hver kunde, hvilken adgang aftalen giver.
Læs også: Kundens auditrapport om jer · Revisionsretten i kontrakten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
