Som køber kan I kræve ISAE 3000 til at dække kontraktens sikkerhedskrav og databeskyttelse og ISAE 3402 til de faciliteter, leverandøren deler med andre kunder. Den fordeling står i bilag 4.e til statens standardkontrakt K04, og den er et brugbart holdepunkt, også for private købere, der skriver deres egen aftale.
Forskellen mellem ISAE 3000 og ISAE 3402 ligger i, hvad erklæringen handler om. Artiklen forklarer ikke standarderne i dybden. Den handler om, hvad I skriver i aftalen.
Forskellen, kort
ISAE 3402 er efter sin ordlyd skrevet til erklæringer om kontroller hos en serviceleverandør, der er relevante for kundernes interne kontrol med regnskabsaflæggelsen. Den dækker kun erklæringer med høj grad af sikkerhed. Standarden giver selv en vis vejledning til opgaver om andre kontroller, men henviser dem til ISAE 3000.
ISAE 3000 dækker de øvrige erklæringsopgaver, som ikke er revision eller review af regnskaber, og kan gives med enten høj eller begrænset grad af sikkerhed. Mange danske erklæringer om informationssikkerhed og persondata er afgivet efter den. De danske betegnelser for graden af sikkerhed er oversættelser.
For en køber betyder det, at en ISAE 3402-erklæring kan være uden kontrolmål for de sikkerhedskrav, I har stillet i kontrakten, hvis de ikke har betydning for regnskabet. Det er vores tolkning af standardens formål.
Sådan fordeler K04 dem
Bilag 4.e til K04 hedder Revision og kontrol og er et bilag, kunden selv tilpasser. Efter bilaget skal leverandøren senest et antal måneder efter transitionsdagen, i standardteksten seks, og derefter hver 12. måned kunne fremvise en ledelseserklæring om kontraktens sikkerhedskrav. Den omfatter tre dele.
Kontraktens sikkerhedskrav. En ISAE 3000-erklæring fra en uafhængig revisor med høj grad af sikkerhed om kontroller rettet mod kontraktens sikkerhedskrav, for perioden siden seneste erklæring. Kunden kan typegodkende en tilsvarende revisionserklæring.
Fælles faciliteter. Revisors ISAE 3402-erklæring af type II, igen med høj grad af sikkerhed, om forhold og faciliteter hos leverandøren, som deles med leverandørens øvrige kunder. Også her kan kunden typegodkende noget tilsvarende.
Ledelsessystemet. Dokumentation for leverandørens ledelsessystem for informationssikkerhed. Kravet kan opfyldes med et gyldigt ISO 27001-certifikat eller tilsvarende, forudsat at leverandøren kan vise, at certifikatet rent faktisk dækker kundens krav.
Er leverandøren databehandler, tilføjer bilaget et fjerde krav: en erklæring efter ISAE 3000 om databeskyttelse, også den med høj grad af sikkerhed.
Bilaget kalder sig selv et katalog. For nogle systemer passer det kun at kræve et udvalg. K04’s punkt 15 tilføjer, at revisionen sker mindst én gang om året ved en ekstern statsautoriseret revisor, som leverandøren udpeger.
K04 er statens standardkontrakt. Private kan bruge den, fordi den er udgivet under en åben licens, men den gælder kun, når parterne har aftalt den.
Hvornår høj grad af sikkerhed
Datatilsynet har en pointskala i sin vejledning om tilsyn med databehandlere. Giver behandlingen 7 til 10 point, skal kunden ifølge vejledningen vælge en erklæring, der etablerer høj grad af sikkerhed. Det passer med bilag 4.e, som kræver høj grad af sikkerhed for alle tre erklæringer.
Ved lavere risiko kan en erklæring med begrænset grad af sikkerhed eller en anden tilsynsform være nok. Det afgøres ud fra jeres egen vurdering af behandlingen.
Kræver NIS 2 en erklæring?
Er I omfattet af NIS 2-loven, kan det ligge nært at tro, at leverandøren skal have en erklæring. Ifølge Styrelsen for Samfundssikkerheds vejledning om lovens anvendelsesområde behøver en enhed under NIS 2 ikke nødvendigvis at forlange en særlig certificering eller revisorerklæring af sine leverandører. Et krav om erklæring er derfor jeres eget valg. Revisorernes skabelon til NIS 2-erklæringer er en mulighed blandt flere.
Sådan kan det stå i aftalen
Et tænkt eksempel på en formulering, der bygger på bilag 4.e, men er tilpasset en mindre aftale:
- Erklæring om sikkerhedskrav · (ISAE 3000, type 2, høj grad af sikkerhed, rettet mod bilag X)
- Erklæring om fælles faciliteter · (ISAE 3402 type II eller tilsvarende godkendt af kunden)
- Databeskyttelse · (ISAE 3000, høj grad af sikkerhed, rettet mod databehandleraftalen)
- Rytme · (Hver 12. måned, første gang 6 måneder efter idriftsættelse)
- Underleverandører · (Erklæringerne omfatter kritiske underleverandører, eller deres egne erklæringer vedlægges)
- Tilsvarende · (Kunden kan godkende en anden erklæringstype efter skriftlig anmodning)
Den sidste linje er vigtig. Den lader leverandøren tilbyde det, den allerede har, og lader jer afgøre, om det er nok. Hvordan I vurderer det, står i kan erklæringen erstatte jeres egen audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I ved, hvilke af jeres krav der er afgørende, så I kan bede om erklæringer rettet mod dem. Hver erklæring er et stort stykke arbejde hos leverandøren og dennes revisor, så kravet bør stå i forhold til risikoen.
Kræver I ingen bestemt erklæring, får I den, leverandøren har i forvejen. Den er lavet til alle kunder og er måske rettet mod regnskabsrelevante kontroller, så jeres sikkerhedskrav står uden bevis.
Det skal I lade være med
- At kræve ISAE 3402 som bevis for kontraktens sikkerhedskrav · standarden er rettet mod regnskabsrelevante kontroller.
- At kopiere hele bilag 4.e til en lille aftale · bilaget er et katalog at vælge fra.
- At skrive erklæringskravet uden grad af sikkerhed · høj eller begrænset ændrer, hvad konklusionen siger.
Det skal auditten kunne vise
- ☐ Hvilke erklæringer aftalen kræver, med standard, type og grad af sikkerhed.
- ☐ Hvad hver erklæring er rettet mod.
- ☐ Begrundelsen for valget, herunder risikovurderingen af behandlingen.
- ☐ Godkendelse af eventuelle tilsvarende erklæringer.
Kilder
- Digitaliseringsstyrelsen, K04 Bilag 4.e Revision og kontrol, afsnit 2.1 og 2.2, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
- IAASB, ISAE 3402, i IAASB Handbook 2013, afsnit 1 til 3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find aftalens bestemmelse om erklæringer, og se, om den nævner standard, type og grad af sikkerhed.
Læs også: ISAE 3000-erklæringen om databeskyttelse · Sådan læser I erklæringen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
