Auditbestemmelsen i statens udviklingskontrakt K03 er efter Digitaliseringsstyrelsens egen vejledning en bevisregel. Den lader parterne kontrollere hinandens opfyldelse af kravene til indsigt, lader kunden kontrollere kvaliteten af kildekoden og leverandørens opfyldelse af kravene til drift og vedligehold. En generel audit af leverandørens informationssikkerhed er ikke dens formål, og den bør efter vores læsning aftales særskilt.
Artiklen er til den, der har en udviklingsaftale bygget på K02 eller K03 og forventer, at ordet “audit” i kontrakten giver adgang til en sikkerhedsaudit.
Hvad K03-vejledningen siger om punkt 18
Digitaliseringsstyrelsens juridiske vejledning til K03 beskriver punkt 18 om audit sådan: kundens og leverandørens adgang til audit er forskellig, men begge parter kan gennemføre en audit af, om den anden part opfylder kravene til indsigt. Bestemmelsen er en bevisregel, der er tænkt til situationer, hvor der er risiko for, at leverandøren ikke opfylder kontrakten retmæssigt.
Kunden kan desuden kræve audit af leverandørens kildekode for at kontrollere kvaliteten. Det er nyt i forhold til K02. Og kunden kan kræve audit af, om leverandøren opfylder kravene til vedligeholdelse og drift efter kontraktens punkt 15 og 16.
Bestemmelsen dækker altså mere end projektets indsigt. Den dækker også drift og vedligehold, når de er en del af aftalen.
Varsel, loft og omkostninger
Efter vejledningens beskrivelse af punkt 18.3 er udgangspunktet audit med 10 arbejdsdages varsel og højst fire gange om året. I K02 er loftet to gange om året. Omkostningerne til auditor afholdes af den part, der rekvirerer auditten. Udgangspunktet kan forlades, når leverandøren er kommet for sent til overtagelse eller driftsprøve. Auditten skal planlægges med mindst mulig forstyrrelse af arbejdet.
Vejledningen nævner også en ophævelsesadgang, hvis en uvildig sagkyndig ved audit har afgjort, at manglende opfyldelse af kravene til indsigt har væsentlig betydning, og kravene ikke opfyldes inden en fastsat frist.
Persondata er skilt ud
Vejledningen har et særskilt afsnit om personoplysninger. Kunden skal aktivt sikre sig, at leverandøren træffer de fornødne sikkerhedsforanstaltninger. En revision af det er derfor ikke omfattet af punkt 18, og der gælder ingen begrænsninger i kundens adgang til den.
Afsnittet er skrevet efter den gamle persondatalov, som er afløst af databeskyttelsesforordningen og databeskyttelsesloven. Pointen holder dog: revision af persondatasikkerheden er ikke bundet af auditbestemmelsens loft og varsel. I dag følger kundens ret over for en databehandler af databehandleraftalen og forordningens artikel 28.
Hvorfor sikkerheden bør skrives ind for sig
Punkt 18 er bygget til at afgøre uenighed om projektets fremdrift, indsigt, kode og drift. Den siger ikke noget om leverandørens organisatoriske sikkerhed, adgangsstyring til udviklingsmiljøer, håndtering af hemmeligheder i koden eller kontrol med underleverandører. Den læsning er vores, bygget på vejledningens beskrivelse af formålet.
Har I brug for at kontrollere leverandørens sikkerhed, er der tre veje:
- En særskilt revisionsklausul om informationssikkerhed med de elementer, en auditor har brug for. Se revisionsretten i kontrakten.
- Et sikkerhedsbilag med afgørbare krav, så det er klart, hvad der måles imod. Se sikkerhedsbilaget som auditgrundlag.
- En driftsaftale efter K04-modellen for den del, der går i drift. Digitaliseringsstyrelsen skriver, at K04 kan bruges som driftsbilag ved udvikling under K02 og K03.
Når leverandøren også driver løsningen
Mange udviklingsaftaler ender med, at samme leverandør også driver løsningen. Så er det værd at se, hvor driften er reguleret. Står den i udviklingsaftalen, dækker punkt 18 også audit af driftskravene, med samme loft og varsel. Står den i en separat driftsaftale, gælder den aftales regler om revision og kontrol. To aftaler med hver sin auditbestemmelse kan give to forskellige varsler for den samme leverandør, og det er værd at afklare, før den første audit varsles.
Kontrakterne er ældre modeller
På styrelsens side om K04 står der, at K01, K02 og K03 er forældede på flere punkter og kræver tilpasning. K03-vejledningen er udateret og beskriver arbejdet frem til udgangen af 2012.
Aftaler bygget på K02 eller K03 kan stadig være i brug, men man kan ikke regne med, at de dækker de sikkerhedskrav, en kunde i dag vil stille. K02’s egen tekst er ikke gennemgået til denne artikel. Det, der står om K02 her, bygger på K03-vejledningens sammenligning.
Tænkt eksempel
En virksomhed har fået udviklet en kundeportal efter en aftale bygget på K03 og vil efter et sikkerhedsbrud hos en anden kunde af leverandøren undersøge, hvordan leverandøren beskytter adgangen til portalens kildekode og servere. Punkt 18 giver adgang til at auditere kodens kvalitet og driftskravene, hvis drift er en del af aftalen. Spørgsmålet om, hvordan leverandøren beskytter sine udviklingsmiljøer, falder uden for. Er der personoplysninger i portalen, giver databehandleraftalen en selvstændig adgang. Resten kræver et tillæg. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser auditbestemmelsen i den konkrete udviklingsaftale og ser, hvad den dækker, og at sikkerhedskontrollen skrives ind ved et tillæg eller ved næste aftale.
Regner I med, at “audit” i kontrakten dækker sikkerheden, opdager I først forskellen, når leverandøren afviser en sikkerhedsaudit med henvisning til bestemmelsens formål.
Det skal I lade være med
- At læse “audit” i en udviklingsaftale som en sikkerhedsaudit · bestemmelsen har sit eget formål.
- At glemme loftet og varslet · de begrænser, hvor ofte og hvor hurtigt I kan komme ind.
- At overse databehandleraftalen · den giver en selvstændig adgang for persondatadelen.
Det skal auditten kunne vise
- ☐ Auditbestemmelsen i udviklingsaftalen og hvad den dækker.
- ☐ En særskilt ret til sikkerhedsaudit, hvis der er brug for den.
- ☐ Databehandleraftalens revisionsbestemmelse for persondata.
- ☐ Driftsaftalen for den del af løsningen, der er i drift.
Kilder
- Digitaliseringsstyrelsen, K03 Standardkontrakt for længerevarende it-projekt baseret på en agil metode. Juridisk vejledning, punkt 18 og afsnittet om persondata, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for it-drift (side), læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find auditbestemmelsen i jeres udviklingsaftale, og skriv op, hvilke af jeres sikkerhedsspørgsmål den ikke dækker.
Læs også: Ingen revisionsret i aftalen · Tillæg til en løbende aftale
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
