Når leverandøren sender en sikkerhedsrapport, er det første spørgsmål, hvem der har bestilt den. Bestilleren har valgt omfanget, og afsenderen bestemmer, hvor uafhængig konklusionen er. Ud fra de to spørgsmål kan næsten enhver rapport placeres i en af fem arter, og arten afgør, hvad rapporten kan bruges til.
Artiklen handler kun om at bestemme arten. Hvordan rapporten læses i detaljer, er et emne for sig.
De fem arter
1. Leverandørens egen rapport. Leverandøren har selv skrevet den. Det kan være en årlig status, en bekræftelse af, at aftalens krav overholdes, eller resultatet af en intern audit. Datatilsynet beskriver i sin vejledning om tilsyn med databehandlere både en skriftlig bekræftelse og en årlig status, evt. på leverandørens hjemmeside, som lette tilsynsformer. Statens vejledning om cybersikkerhed i leverandørforhold nævner leverandørens interne audit eller egenkontrol som én kontrolform.
2. Kundebestilt audit. En kunde, eller en auditor på kundens vegne, har undersøgt leverandøren. Statens standardkontrakt K04 giver kunden ret til audit ved eksterne og uvildige auditører. Rapporten er skrevet til den kunde, der bestilte den.
3. Revisorerklæring. En revisor har afgivet en erklæring med sikkerhed efter en standard, fx ISAE 3000 eller ISAE 3402. K04’s bilag 4.e nævner en ISAE 3000-erklæring om kontraktens sikkerhedskrav og en ISAE 3402 type II-erklæring om forhold, der deles med andre kunder, begge med høj grad af sikkerhed. Revisorlovens regler træder i kraft, når en godkendt revisor udtaler sig med sikkerhed til brug for andre end bestilleren.
4. Certifikat. Et certificeringsorgan har vurderet, at et ledelsessystem opfylder en standard, typisk ISO 27001. I K04’s bilag 4.e kan et gyldigt ISO 27001-certifikat bruges som dokumentation for ledelsessystemet, hvis leverandøren viser, at det dækker kundens krav. For persondata nævner databeskyttelsesforordningen certificering efter artikel 42 som et element, der kan bruges til at påvise garantierne.
5. Testrapport. En tester har forsøgt at bryde ind eller fundet sårbarheder i et afgrænset system. Statens vejledning kalder det sikkerhedstekniske undersøgelser, også kaldet penetrationstests. Hvordan de tekniske resultater læses og efterprøves, er beskrevet under tekniske kontrolpunkter og teknisk bevis.
Bestemmelsesnøglen
Tre spørgsmål afgør arten. Nøglen er vores egen.
- Hvem har skrevet den? · Leverandøren selv (1), en auditor (2), en revisor (3), et certificeringsorgan (4), en tester (5)
- Hvem har bestilt den? · Leverandøren (1, 3, 4, 5 oftest), en kunde (2)
- Hvad konkluderer den? · Egen påstand (1), fund (2, 5), en udtalelse med sikkerhed (3), et certifikat med omfang (4)
Bemærk, at revisorerklæringer, certifikater og testrapporter som regel er bestilt af leverandøren selv. Det gør dem ikke værdiløse. Afsenderen kan være uafhængig, selv om leverandøren har valgt omfanget og betalt.
Uafhængighed måles i forhold til leverandøren
Datatilsynet kræver af en tredjepart, der fører tilsyn, at den står fri af databehandleren. Ejerskab i samme koncern eller penge imellem dem nævnes som mulige problemer.
Databeskyttelsesrådet (EDPB) lægger i sine retningslinjer vægt på, at kunden kan bestride omfang, metode og konklusion i en audit, selv om databehandleren har foreslået auditoren. Det er rådets fortolkning, men det viser, at en rapport bestilt af leverandøren ikke låser kunden.
DORA, som kun gælder finansielle enheder, skelner i den delegerede forordning 2024/1773 mellem leverandørens interne revisionsrapporter og rapporter fra tredjeparter, og mellem rapporter udarbejdet efter anmodning fra leverandøren og den interne revisionsfunktions egne. Skellet er nyttigt for alle kunder.
Hvad hver art kan bruges til
- Egen rapport viser, hvad leverandøren mener om sig selv. Den kan bruges ved lav risiko og som indgang til spørgsmål.
- Kundebestilt audit svarer på netop jeres spørgsmål, fordi I har valgt omfanget.
- Revisorerklæring giver en uafhængig udtalelse inden for et omfang, leverandøren har valgt. Læs omfanget og perioden.
- Certifikat viser, at et ledelsessystem er vurderet. Det siger mindre om, hvordan jeres ydelse konkret drives.
- Testrapport viser, hvad testeren fandt i det, der blev testet, på det tidspunkt, det blev testet.
En rapport fra én art kan ikke uden videre bruges som en anden. Et certifikat er ikke en erklæring om, at kontroller har virket i en periode, og en egen rapport er ikke en uafhængig udtalelse.
Når en rapport er lavet til en anden kunde
Leverandøren sender undertiden en audit, som en anden kunde har bestilt. Den kan give et nyttigt billede, men den er skrevet til en anden modtager med et andet omfang. Spørg, hvad den anden kunde bad om, og hvad der ikke var med. Mere om at dele kontrol mellem kunder står i fælles audit.
Spørg desuden, om rapporten må deles, før I bruger den over for ledelsen eller andre.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver rapport, der kommer ind, får noteret afsender, bestiller, art, omfang og periode, før den arkiveres. Det tager få minutter og gør resten af læsningen hurtigere.
Uden den notering bliver en leverandørs egen status læst som en uafhængig erklæring, og et certifikat bliver taget som bevis for ting, det aldrig har dækket.
Det skal I lade være med
- At sætte alle rapporter i samme bunke · arten afgør, hvad de kan bruges til.
- At afvise en rapport, fordi leverandøren har betalt den · spørg til afsenderens uafhængighed.
- At bruge en anden kundes audit som jeres egen · omfanget var valgt af en anden.
Det skal auditten kunne vise
- ☐ For hver rapport: afsender, bestiller, art, omfang og periode.
- ☐ Jeres vurdering af afsenderens uafhængighed af leverandøren.
- ☐ Hvilke af jeres krav rapporten dækker, og hvilke den ikke dækker.
- ☐ Hvad I har gjort ved de krav, der ikke er dækket.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 2 til 5, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 25, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16 og bilag 4.e, læst 12. november 2026.
- Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, § 1, stk. 2, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, stk. 5, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 6 og 8, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de tre seneste rapporter, I har fået fra leverandører, og notér for hver afsender, bestiller og art.
Læs også: Tre grader af kontrol · Audit af en leverandør, der er langt større end jer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
