De leverandører, der skal have en egentlig audit, er de få, hvis fejl rammer jeres forretning eller jeres data hårdest. Udvælgelsen sker ved at rangere alle leverandører efter samme parametre og skrive begrundelsen ned, så valget kan forklares bagefter.
Resten får en lettere kontrol. Sådan fordeles den tid, der er, efter hvor risikoen ligger.
Statens ni parametre
Afsnit 5.1 i statens vejledning om leverandørforhold råder kunden til at ordne leverandørerne efter, hvor meget forretningen afhænger af dem. De øverste på listen bør kontrolleres oftere og mere indgående. Vejledningen er skrevet til staten, men kan efter sin egen tekst bruges af virksomheder. Den lister ni parametre til den prioriterede liste:
- Følsomheden og mængden af jeres informationer i leverancen.
- Om leverancen omfatter forretningskritiske systemer eller processer.
- Om den omfatter kritisk infrastruktur eller samfundskritiske systemer.
- Om leverancen er standardiseret eller specialiseret.
- Hvor data ligger geografisk.
- Leverancens karakter, herunder leverandørens driftsansvar og adgang til at se eller ændre jeres data.
- Den samlede kontraktværdi.
- Mængden af fejl, mangler og hændelser hos leverandøren.
- Leverandørens vilje til at samarbejde med jer og jeres øvrige leverandører.
Listen er ifølge vejledningen grundlaget for en tilsynsplan, så kræfterne bruges dér, hvor leverancen betyder mest.
Tre akser gør listen brugbar
Ni parametre er mange at score. Vi samler dem i tre spørgsmål. Sammenfatningen er vores egen. Parametrene gælder stadig, og akserne gør dem hurtigere at bruge i et møde.
Adgang. Hvad kan leverandøren gøre i jeres miljø? Driftsansvar, administratorrettigheder og fjernadgang trækker op. Parameter 6 hører her.
Data. Hvad ser eller opbevarer leverandøren? Mængde, følsomhed og placering trækker op. Parameter 1 og 5 hører her.
Afhængighed. Hvad sker der, hvis leverancen stopper eller fejler en uge? Forretningskritiske systemer, specialiserede ydelser, der er svære at erstatte, og en lang historik med fejl trækker op. Parameter 2, 3, 4 og 8 hører her.
Kontraktværdien (7) og samarbejdsviljen (9) siger mindre om risikoen og mere om, hvad der er muligt. En stor kontrakt giver typisk bedre adgang til kontrol. En leverandør, der ikke vil samarbejde, kan være en grund til at gå et trin op.
Et tænkt eksempel på scoring
- (Driftsleverandør af ERP-systemet) · Adgang: (Høj: administrerer servere) · Data: (Høj: kunde- og lønoplysninger) · Afhængighed: (Høj: ingen fakturering uden systemet) · Udvalgt til audit: (Ja)
- (Leverandør af mødebooking) · Adgang: (Lav) · Data: (Lav: navne og mødetider) · Afhængighed: (Lav) · Udvalgt til audit: (Nej, dokumentgennemgang)
- (Webbureau) · Adgang: (Middel: adgang til CMS og domæne) · Data: (Middel: formularer) · Afhængighed: (Middel) · Udvalgt til audit: (Spørgeskema og opfølgning)
Eksemplet viser formen. Grænserne for høj, middel og lav sætter I selv og skriver ned.
Persondata trækker i en anden retning
For databehandlere er målestokken en anden. Datatilsynets vejledning måler på de personer, oplysningerne handler om. Virksomhedens egen risiko er ikke målestokken. Kravene til tilsynet stiger med antallet af personer, oplysningernes fortrolige eller følsomme karakter og behandlingens indgriben.
Det betyder, at en leverandør med lav forretningsmæssig betydning kan kræve et tungt tilsyn, fordi den behandler helbredsoplysninger. Og omvendt. Når I scorer databehandlere, bør begge vurderinger med.
NIS 2-omfattede virksomheder
For NIS 2-omfattede virksomheder kræver Styrelsen for Samfundssikkerheds vejledning fra juni 2025 faste procedurer for styring af de direkte leverandører, hvis ydelser kan ramme sikkerheden i det, der gør jer omfattet. Det gælder også andre kritiske leverancer, fx strøm og teknisk bistand. Vejledningen anbefaler en risikobaseret og proportional tilgang for at undgå unødigt høje krav.
Udbydere af bl.a. cloud og hosting skal efter gennemførelsesforordning 2024/2690 føre et register over deres direkte leverandører, med kontaktpunkt og en oversigt over det, hver af dem leverer. For andre virksomheder er registeret en god målestok for, hvor overblikket starter. Uden en fuld liste kan udvælgelsen ikke begrundes.
Fra liste til beslutning
Når listen er scoret, er udvælgelsen en ledelsesbeslutning. Skriv for hver af de udvalgte, hvorfor de er med, og for de nærmeste fravalgte, hvorfor de ikke er. Det er de fravalgte, der bliver spurgt om, hvis noget går galt.
Statens vejledning anbefaler at opdatere risikovurderingen af leverandørforholdet mindst årligt og ved væsentlige hændelser og ændringer. En leverandør kan rykke op, når den får mere adgang, eller ned, når en leverance udfases. Intervallet for de udvalgte er emnet i artiklen om frekvens.
Graden af kontrol for dem, der ikke udvælges, står i tre grader af kontrol.
Når en ny leverandør kommer til
Nye leverandører scores, når aftalen indgås, med de samme parametre som resten. Det tager få minutter, når skemaet findes, og en ny driftsleverandør venter så ikke et år på at komme på listen. Notér samtidig, hvem hos jer der kender leverancen bedst, så spørgsmålene om adgang og data kan besvares uden gætteri næste gang.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fuld liste over leverandører, en person, der kender leverancerne godt nok til at score dem, og et møde, hvor ledelsen godkender udvælgelsen. Listen skal holdes ved lige.
Uden udvælgelse bliver kontrollen fordelt efter, hvem der er lettest at få fat på. De kritiske leverandører kan gå år uden kontrol, mens de små besvarer det ene skema efter det andet.
Det skal I lade være med
- At vælge efter kontraktværdi alene · en billig leverandør kan have fuld administratoradgang.
- At glemme leverandører uden IT-leverance · strøm, service og adgang til bygningen kan være kritisk.
- At score databehandlere kun efter forretningsrisiko · risikoen for de registrerede er Datatilsynets målestok.
Det skal auditten kunne vise
- ☐ En komplet liste over direkte leverandører med kontaktpunkt.
- ☐ Scoring efter de samme parametre for alle.
- ☐ Begrundelse for de udvalgte og de nærmeste fravalgte.
- ☐ Ledelsens godkendelse og datoen for seneste opdatering.
- ☐ Særskilt vurdering af databehandlere ud fra de registrerede.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.1 og 5.4, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, s. 5, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 5.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk jeres leverandørliste ud af bogholderiet, og score de ti største på adgang, data og afhængighed.
Læs også: Audit af den lille leverandør · Indkøb, IT eller kontraktejer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
