Den vigtigste forberedelse til en leverandøraudit foregår hos jer selv. Før auditten bør I vide, hvilke ydelser I får, hvilke data leverandøren har, hvilke adgange den har til jeres systemer, hvad der er sket af hændelser, og hvilke krav I har aftalt.
Uden den viden kan auditoren ikke skelne mellem det, leverandøren gør forkert, og det, I aldrig har bedt om. Og leverandøren opdager hurtigt, hvis kunden ikke kender sin egen aftale.
Hvad statens vejledning beder kunden om at kende
Statens vejledning om cybersikkerhed i leverandørforhold henvender sig til kunder, der outsourcer it. Allerede i planlægningsfasen anbefaler den, at kunden kortlægger sine forretningsprocesser, sin it-infrastruktur, sine datastrømme og afhængigheder, og at en tidligere kortlægning opdateres. Vejledningen understreger, at kunden altid beholder ansvaret for at beskytte egne systemer og oplysninger, også når driften er overdraget.
Datatilsynets vejledning om tilsyn med databehandlere begynder et lignende sted. Man skal have overblik over, hvilke databehandlere man har, og databehandleraftalen er rammen for, hvad tilsynet skal omfatte. Datatilsynets vejledning om cloud beder den dataansvarlige afdække leverandørens sikkerhedsniveau og vurdere det mod sit eget behov. Det sidste forudsætter, at behovet er kendt.
For de digitale tjenesteudbydere, gennemførelsesforordning 2024/2690 gælder for, kræver bilagets punkt 5.2, at enheden registrerer sine direkte leverandører, deres kontaktpunkter og de produkter, tjenester og processer, hver af dem leverer. For andre er registret en god model.
Fem ting at have styr på
Forarbejdet kan samles i fem punkter. Inddelingen er vores egen og en praksis.
Ydelsen. Hvad leverer leverandøren, ifølge aftalen og i virkeligheden? Det er ikke altid det samme. Ydelser, der er kommet til hen ad vejen, står måske ikke i bilagene.
Data. Hvilke af jeres data ligger hos leverandøren, hvor følsomme er de, og hvor ligger de geografisk? Statens vejledning nævner følsomhed, mængde og placering blandt de parametre, der afgør, hvor grundigt en leverandør bør kontrolleres.
Adgange. Hvilke adgange har leverandøren til jeres systemer, og hvem hos jer har givet dem? Det gælder fjernadgange, administratorkonti, servicekonti og integrationer. Listen fra jeres egne systemer er den, leverandørens liste senere skal holdes op mod.
Hændelser. Hvad er der sket siden sidste audit eller siden aftalens start? Fejl, nedbrud, sikkerhedshændelser og klager. Datatilsynet beder i sit tredje tilsynskoncept om, at man spørger til brud siden sidste tilsyn. Kender I dem selv, kan I se, om svaret er fuldstændigt.
Krav. Hvilke krav står i aftalen, sikkerhedsbilaget og databehandleraftalen, og hvilke er ændret ved tillæg? Det er auditkriterierne, og de er beskrevet under auditkriterier.
Et internt ark
Forarbejdet kan samles på et enkelt ark, som auditoren får inden planen skrives. Felterne er et forslag fra os, og indholdet i parentes er tænkt.
- Ydelser · Hvad I noterer: Fra aftalen og i praksis · Tænkt eksempel: (Drift af lønsystem; desuden support til e-mail, ikke i bilag)
- Data · Hvad I noterer: Typer, følsomhed, placering · Tænkt eksempel: (Lønoplysninger og CPR-numre, datacenter i EU)
- Adgange · Hvad I noterer: Fra jeres egne systemer · Tænkt eksempel: (To fjernadgange, én servicekonto til integration)
- Hændelser · Hvad I noterer: Siden sidste audit · Tænkt eksempel: (Nedbrud i marts, underretning efter to dage)
- Krav · Hvad I noterer: Bestemmelser og tillæg · Tænkt eksempel: (Sikkerhedsbilag fra 2021, tillæg om tofaktor fra 2024)
- Kontaktpersoner · Hvad I noterer: Hos jer og hos leverandøren · Tænkt eksempel: (Kontraktejer, IT-ansvarlig, leverandørens sikkerhedskontakt)
Hvem der ved hvad
Viden om leverancen er ikke altid samlet ét sted. Kontraktejeren kender aftalen og tillæggene. IT-afdelingen kender adgangene og integrationerne. Brugerne ved, hvilke ydelser de faktisk får, og hvor det går galt. Den, der har ansvaret for databeskyttelse, kender databehandleraftalen og fortegnelserne.
Statens vejledning beskriver som et eksempel en række roller i leverandørstyring: ledelsen, den sikkerhedsansvarlige, den kontraktansvarlige, jura, den IT-ansvarlige, system- og dataejere og den databeskyttelsesansvarlige. En person kan have flere roller. Et kort møde med de relevante roller, før arket udfyldes, kan være den hurtigste vej til et samlet billede. Det er praksis.
Hvad forarbejdet ændrer i auditten
Et godt forarbejde gør auditten kortere og skarpere. Hvis I ved, at en ydelse ikke står i aftalen, kan auditten notere det som et hul i aftalen og ikke som et fund hos leverandøren. Hvis I kender jeres egen liste over leverandørens adgange, kan I sammenligne den med leverandørens og se forskellen med det samme. Og hvis I kender hændelserne, kan auditten spørge direkte til dem.
Forarbejdet afslører også jeres egne mangler. En erklæring fra leverandøren kan forudsætte, at kunden selv udfører nogle kontroller, fx oprettelse og nedlæggelse af brugere. Dem bør I kunne dokumentere, før I beder leverandøren om at dokumentere sine. Se komplementære brugerkontroller.
Arket er også nyttigt efter auditten. Det viser, hvad I vidste, før I gik i gang, og gør det let at se, hvad auditten lærte jer. Opdateres det hvert år, bliver forarbejdet til næste audit kortere.
I energisektoren skal virksomhedernes fortegnelser efter bekendtgørelsen beskrive afhængigheder af leverandører. Har I allerede sådan en fortegnelse, er meget af forarbejdet gjort.
Hvad det kræver, og hvad det koster at lade være
Forarbejdet tager tid hos flere personer: kontraktejeren, den IT-ansvarlige og den, der kender databehandlingen. Det gøres bedst, før auditoren går i gang, og det kan genbruges ved næste audit, hvis det holdes opdateret.
Uden forarbejdet bruger auditten tid på at kortlægge jeres egen leverance. Fund risikerer at blive rettet mod leverandøren, selv om fejlen ligger i jeres aftale eller jeres egne kontroller.
Det skal I lade være med
- At lade auditoren kortlægge leverancen hos leverandøren · I bør kende den selv.
- At glemme ydelser, der er kommet til uden for aftalen · de er måske ikke dækket af kravene.
- At bruge leverandørens adgangsliste som den eneste · jeres egen liste er kontrollen.
Det skal auditten kunne vise
- ☐ En opdateret beskrivelse af ydelser, data og adgange fra kundens side.
- ☐ En liste over hændelser siden sidste audit fra kundens egne registreringer.
- ☐ De aftalte krav med tillæg.
- ☐ Afvigelser mellem aftalen og den faktiske leverance.
- ☐ Kundens egne kontroller, som leverancen forudsætter.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.2, 1.3 og 5.1, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 1.1, 3.1 og koncept 3, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.1.2, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 5.2, læst 12. november 2026.
- Bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, §§ 14 og 15, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udfyld det interne ark for den leverandør, der skal auditeres næste gang, før I skriver til leverandøren.
Læs også: Hvilke leverandører skal auditeres? · Første audit af en leverandør, I har arvet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
