Ingen af de regler, vi har læst, fastsætter et interval for audit af en IT-leverandør. Intervallet sætter I selv for hver klasse af leverandører, og det holder bedst, når det følger leverandørens kalender: kontraktens frister, erklæringernes perioder og de ændringer, der sker hos leverandøren.
Det, reglerne giver, er holdepunkter. Nogle er faste datoer, andre er udløsere, der kræver en ekstra kontrol uden for planen.
Det, kilderne siger om frekvens
Ordlyden er værd at se på, fordi ingen af dem siger “hvert år” som et krav til en almindelig privat kunde.
- Datatilsynet åbner i sin tilsynsvejledning for, at et årligt tilsyn i visse sager kan være nødvendigt, og at sjældnere kan række, når risikoen er lav. Samme formulering står i Datatilsynets vejledning om cloud.
- Statens vejledning om leverandørforhold råder til at se på risikovurderingen af forholdet og på selve kontrakten sammen med leverandøren hvert år.
- EU’s standardbestemmelser for databehandlere (afgørelse 2021/915) taler om revision med rimelige mellemrum, eller hvis der er tegn på manglende overholdelse.
- DORA, der kun omfatter finansielle enheder, kræver, at det på forhånd og ud fra risiko besluttes, hvor tit der revideres og inspiceres.
- Gennemførelsesforordning 2024/2690, som gælder bl.a. cloud- og hostingudbydere, taler om planlagte mellemrum og om væsentlige ændringer og hændelser.
- Styrelsen for Samfundssikkerheds NIS 2-vejledning nævner planlagte intervaller eller en hændelse.
Fællesnævneren er en plan, der fastlægges på forhånd, plus ekstra kontrol, når noget ændrer sig.
Faste datoer, I allerede har
Mange kontrakter har deres egen rytme. Statens standardkontrakt K04, som private kan bruge som model, kræver en revisorerklæring fra leverandøren mindst én gang årligt. Bilag 4.e placerer den første højst [seks måneder] efter, at driften er overtaget, og derefter årligt. Tallet i skarp parentes er et felt, kunden kan ændre.
Har leverandøren en årlig erklæring, er den naturlige rytme at læse den, når den kommer, og lægge en dybere kontrol i de år, hvor erklæringen ikke dækker det, I har brug for. Hvordan datoerne samles, står i årsplan for leverandøraudits.
Den ældre udviklingskontrakt K03 viser et loft i den anden retning: som udgangspunkt højst fire audits om året med 10 arbejdsdages varsel. Styrelsen kalder selv K03 forældet på flere punkter. Pointen er, at en aftale kan begrænse antallet.
Udløsere for en ekstra kontrol
Datatilsynet nævner forhold, der taler for højere frekvens: problemer med at overholde aftaler, flere alvorlige sikkerhedsbrud, hyppige skift af underdatabehandlere, ejerskifter, opkøb, fusioner og strategiskift. Nogle af dem kan begrunde et tilsyn uden for den normale plan.
Statens vejledning peger på de samme typer: væsentlige sikkerhedshændelser, væsentlige ændringer og ændringer i leverandørens økonomi, forretning og brug af underleverandører.
Datatilsynet nævner også, hvad der taler for lavere frekvens: lang erfaring med stabil service og ingen eller få brud, der ikke var alvorlige.
Et interval pr. klasse
Når leverandørerne er rangeret, se hvilke leverandører der skal auditeres, kan intervallet sættes pr. klasse. Et tænkt eksempel, der viser formen:
- (Kritisk) · Planlagt kontrol: (Erklæring læst årligt, audit hvert andet år) · Ekstra kontrol ved: (Hændelse, opkøb, ny underleverandør til driften)
- (Vigtig) · Planlagt kontrol: (Erklæring eller status årligt, spørgeskema hvert andet år) · Ekstra kontrol ved: (Hændelse, gentagne mangler)
- (Øvrige) · Planlagt kontrol: (Skriftlig bekræftelse ved kontraktgennemgang) · Ekstra kontrol ved: (Brud på persondatasikkerheden)
Datatilsynets vejledning nævner selv muligheden for at skifte mellem koncepter, fx en uafhængig erklæring hvert andet år og en skriftlig status de øvrige år.
Skriv begrundelsen ved hvert interval. Det er den, der viser, at frekvensen er valgt ud fra risiko.
Leverandørens rytme og jeres egen
Mange virksomheder har en intern auditcyklus, der følger regnskabsåret eller ledelsens årshjul. Leverandørauditten passer sjældent ind i den. Erklæringen kommer, når leverandørens revisor er færdig. Kontrakten fornyes på sin egen dato. Opkøb sker, når de sker.
Derfor er det en fordel at holde planen for leverandørkontrol for sig. Jeres egen interne auditcyklus og den almene metode for at planlægge den er beskrevet under kundens egen sikkerhedsaudit.
Når intervallet skal ændres
Intervallet er en beslutning, der kan tages op igen. Har en leverandør leveret stabilt i flere år uden alvorlige brud, peger Datatilsynets momenter mod en lavere frekvens, og det kan skrives ned som begrundelse. Har en audit givet fund, der endnu ikke er lukket, taler det for at rykke næste kontrol frem. Lad den årlige gennemgang af leverandørlisten tage stilling til intervallet for hver kritisk leverandør, så en ændring står som en beslutning med en dato.
Skriv også ned, hvem der beslutter at rykke en kontrol frem, når en udløser indtræffer. Uden et navn bliver udløseren noteret og derefter glemt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en klasse og et interval for hver leverandør, en kalender over erklæringer og kontraktdatoer og en person, der opdager udløserne. Den sidste del er den sværeste. Opkøb og nye underleverandører dukker op i leverandørens nyhedsbreve og i jeres indbakke uden varsel.
Uden et fastlagt interval bliver kontrollen ført, når nogen husker den. Uden udløsere opdager I først ændringerne, når de har haft virkning.
Det skal I lade være med
- At skrive “årligt” for alle · ingen regel kræver det af private kunder, og ressourcerne fordeles skævt.
- At overse loftet i kontrakten · nogle aftaler begrænser antallet af audits om året.
- At vente på næste planlagte kontrol efter et opkøb · ændringen kan begrunde en ekstra.
Det skal auditten kunne vise
- ☐ Et planlagt interval for hver leverandørklasse med begrundelse.
- ☐ En liste over de udløsere, der fører til ekstra kontrol.
- ☐ Dato for seneste og næste kontrol pr. leverandør.
- ☐ Dokumentation for ekstra kontroller, der er gennemført efter en udløser.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 4 og 5, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.4 og 5.5, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 6, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilagets punkt 5.1.6, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og bilag 4.e, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03 juridisk vejledning, punkt 18.3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen for hver kritisk leverandørs seneste erklæring, og skriv den ind ud for leverandøren.
Læs også: K04’s punkt 15 og 16 og bilag 4.e · Revisionsretten i kontrakten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
