Uden en revisionsret i aftalen har I den kontrol, aftalen ellers giver, og den, leverandøren frivilligt tilbyder. Er leverandøren databehandler, gælder der dog et krav om adgang til revision efter databeskyttelsesforordningen, som databehandleraftalen skal indeholde. For alt andet starter I med rapportering, erklæringer, statusmøder og en anmodning.
Situationen er almindelig. Mange aftaler er indgået, før nogen tænkte på audit, og mange standardvilkår siger intet om det.
Første spørgsmål: er leverandøren databehandler?
Behandler leverandøren personoplysninger på jeres vegne, skal der være en databehandleraftale. Efter artikel 28, stk. 3, litra h, i databeskyttelsesforordningen skal aftalen bl.a. forpligte databehandleren til at udlevere de oplysninger, der dokumenterer overholdelsen, og til at medvirke, når kunden selv eller en udpeget revisor vil revidere eller inspicere. Datatilsynets skabelon til databehandleraftale har bestemmelsen i punkt 12.
Retten gælder overholdelsen af artikel 28 og databehandleraftalen. Den dækker ikke leverandørens sikkerhed i almindelighed eller ydelser uden personoplysninger. Afgrænsningen er vores tolkning af ordlyden.
Find databehandleraftalen frem. Står bestemmelsen der, har I en revisionsret for den del af ydelsen. Mangler den, mangler aftalen efter vores læsning et punkt, som forordningen kræver. Hvad det betyder retligt i jeres sag, er et spørgsmål til en jurist.
Kontrol, der ikke kræver en revisionsret
Uden for databehandlerforholdet har I de muligheder, aftalen og samarbejdet giver. Statens vejledning “Cybersikkerhed i leverandørforhold” kan efter sin egen tekst bruges med udgangspunkt i en eksisterende kontrakt, og den nævner flere kontrolformer, der ikke forudsætter en audit.
Rapportering. Mange driftsaftaler har en pligt til fast rapportering. Statens standardkontrakt K04 kræver månedlige rapporter, der skal være egnede til umiddelbart at vurdere, om ydelserne opfylder kravene. Har jeres aftale noget lignende, er det et sted at starte.
Indsigt i målinger. K04 giver desuden kunden eller en uvildig tredjemand ret til på anmodning at få løbende indsigt i målepunkter og målinger. Det giver adgang til at efterprøve rapporteringen.
Statusmøder. Statens vejledning anbefaler sikkerhed som fast punkt på dagsordenen og referater, som begge parter godkender. Et referat, hvor leverandøren bekræfter en kontrol, er dokumentation.
Erklæringer og certifikater. Spørg, om leverandøren har en uafhængig erklæring eller et certifikat, og få en kopi. Datatilsynet nævner begge som tilsynsformer for databehandlere, og i vejledningen om cloud skriver tilsynet, at det normalt er tilstrækkeligt at gennemgå de rapporter, en cloudleverandør årligt får udarbejdet.
Skriftlig bekræftelse eller årlig status. Datatilsynets lettere tilsynskoncepter er en bekræftelse, helst skriftlig, af, at aftalens krav efterleves, og en årlig skriftlig status. De kræver ikke en revisionsret, kun et svar.
Bed om det, I ikke har ret til
At der ikke står en revisionsret i aftalen, forhindrer ikke en anmodning. Statens vejledning advarer om, at leverandørens villighed til at levere dokumentation og kundens mulighed for kontrol kan være begrænset. En leverandør, der gerne vil beholde kunden, kan alligevel sige ja til en afgrænset gennemgang.
En anmodning, der er let at sige ja til, har tre kendetegn. Den er afgrænset til få forhold. Den tilbyder fortrolighed. Og den forklarer, hvorfor I spørger, fx en ny regel, en hændelse eller en revisors spørgsmål.
Lav anmodningen skriftligt, så der er en dato at henvise til, og nævn den del af aftalen, kontrollen knytter sig til.
Gem anmodningen og svaret. Et afslag er også dokumentation for, at I har forsøgt.
Få retten ind
Den varige løsning er at få retten skrevet ind. Det kan ske ved et tillæg til den løbende aftale eller ved næste fornyelse. Elementerne i en brugbar klausul står i revisionsretten i kontrakten.
Over for en meget stor leverandør er et tillæg sjældent realistisk, og så bliver erklæringerne grundlaget, se kontrol, når leverandøren er størst.
Brug underleverandørerne som indgang
Driften ligger måske hos en underleverandør, der selv har en erklæring eller et certifikat. Spørg leverandøren, hvem den bruger til hosting og drift, og om underleverandørens rapporter kan deles med jer. Statens vejledning råder til, at leverandøren selv holder tilsyn med sine underleverandører og kan vise kunden, hvad der er gjort. Står det ikke i jeres aftale, kan I stadig spørge, hvad leverandøren selv gør. Svaret fortæller noget om, hvor godt leverandøren styrer sin egen kæde, og det kræver ingen revisionsret at stille spørgsmålet.
En tænkt prioritering
- (Lønsystem i skyen) · Databehandler?: (Ja) · Hvad I har nu: (Revision efter databehandleraftalen) · Næste skridt: (Brug retten for persondatadelen)
- (Driftsleverandør) · Databehandler?: (Nej) · Hvad I har nu: (Månedlig rapportering) · Næste skridt: (Bed om indsigt i målinger, forhandl tillæg)
- (Teleleverandør) · Databehandler?: (Nej) · Hvad I har nu: (Intet) · Næste skridt: (Bed om erklæring eller skriftlig status)
Eksemplet er tænkt og viser, at udgangspunktet er forskelligt fra leverandør til leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftaler og databehandleraftaler findes frem og læses for, hvad de giver, og at nogen formulerer en anmodning, der er let at sige ja til. Tillægget kræver en forhandling.
Uden kontrol står I uden bevis for, at leverandøren gør det, aftalen siger. Statens vejledning peger på kundens manglende håndhævelse af kontrakten som en af risiciene ved svag leverandørstyring.
Det skal I lade være med
- At tro, at intet kan gøres · rapportering, status og erklæringer kræver ingen revisionsret.
- At overse databehandleraftalen · den kan give retten for en del af ydelsen.
- At sende en bred anmodning · en afgrænset er lettere at sige ja til.
Det skal auditten kunne vise
- ☐ En gennemgang af, hvad aftalen og databehandleraftalen giver adgang til.
- ☐ Den kontrol, der er ført med de midler, aftalen giver.
- ☐ Anmodninger om yderligere kontrol og leverandørens svar.
- ☐ En plan for at få revisionsretten ind ved tillæg eller fornyelse.
Kilder
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.3, 5 og bilag 2, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 12.1 og 13, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 2 til 5, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find databehandleraftalen for hver leverandør uden revisionsret, og se, om bestemmelsen om revision og inspektion står der.
Læs også: Mellem to audits · Leverandørens vilkår indsnævrer auditten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
