Et datterselskab, der får sin IT fra moderselskabet, har sjældent valgt leverandøren og har ofte ingen egentlig kontrakt. Ansvaret for egne data og egen drift følger alligevel selskabet, og derfor er spørgsmålet, hvilken indsigt datterselskabet kan kræve, og hvordan den dokumenteres.
Artiklen er skrevet til ledelsen og den IT- eller sikkerhedsansvarlige i et datterselskab. Hvordan koncernen styrer sikkerheden samlet, hører til artiklerne om modenhed og koncernstyring. Offentlige koncerner og kommunale fællesskaber behandles under offentlige kunder.
Moderselskabet kan være databehandler
Behandler moderselskabet personoplysninger på datterselskabets vegne, er moderselskabet efter databeskyttelsesforordningen databehandler. Behandlingen skal så være reguleret af en kontrakt eller et andet retligt dokument med indholdet i artikel 28, stk. 3. Det gælder også inden for en koncern. At reglen rammer koncerninterne forhold på denne måde, er vores læsning af artiklen, og den bør prøves konkret.
For datterselskabet er det et vigtigt udgangspunkt. Artikel 28, stk. 3, litra h, giver den dataansvarlige adgang til de oplysninger, der skal til for at vise, at reglerne følges, og ret til revision og inspektion. En koncernintern databehandleraftale er derfor det første sted, datterselskabet får en skriftlig adgang til kontrol.
Uafhængighed er svær inden for koncernen
Datatilsynet opererer med seks tilsynskoncepter i sin tilsynsvejledning, der er fra oktober 2021. I koncept 5 fører en uafhængig tredjepart et dokumenteret tilsyn. Ifølge vejledningen er det navnlig over for databehandleren, at tredjeparten skal stå uafhængigt, og at det kan være et problem, hvis den, der udfører tilsynet, er en del af samme virksomhed som databehandleren, fx et moder- eller datterselskab.
Koncernens interne revision eller koncernens sikkerhedsfunktion kan derfor give nyttig viden, men datterselskabet bør vurdere, om deres arbejde kan bruges som uafhængigt tilsyn. Ofte er svaret, at det kan bruges som et supplement, mens den uafhængige del kommer fra en ekstern erklæring eller en ekstern gennemgang.
NIS 2: to CVR-numre er to enheder
Efter Digitaliseringsstyrelsens FAQ er moder- og datterselskab med hvert sit CVR-nummer to enheder. Koncerninterne it-tjenester vil efter omstændighederne kunne være administrerede tjenester. Styrelsens umiddelbare vurdering er dog, at deling af data, net eller systemer med deling af omkostninger ikke er udbud af administrerede tjenester. Der er ingen fast praksis endnu, så vurderingen bør læses som foreløbig.
Er datterselskabet selv omfattet af NIS 2, skal det have procedurer for leverandørstyring, også når leverandøren er moderselskabet. Om moderselskabet samtidig er omfattet som udbyder, er et særskilt spørgsmål.
Finansielle koncerner: samme krav som til eksterne
DORA definerer en koncernintern udbyder af IKT-tjenester i artikel 3, nr. 20. Betragtningerne i forordning 2024/1773 lægger op til, at en udbyder inden for koncernen behandles som enhver anden tredjepartsudbyder. Risiciene kan være forskellige, men de krav, der gælder for dem, er de samme. Artikel 7, stk. 2, siger, at beslutninger om betingelserne for koncerninterne tjenester træffes objektivt.
Det gælder kun finansielle enheder. For andre koncerner er tanken en brugbar målestok: kontrollen af moderselskabet som leverandør bør ikke være svagere, fordi leverandøren er en del af familien.
Moderselskabets egne leverandører
Koncernens IT-funktion bruger ofte selv eksterne leverandører til hosting, licenser eller support. Er moderselskabet databehandler for jer, er de eksterne leverandører underdatabehandlere. Artikel 28, stk. 2, kræver, at I på forhånd har godkendt dem skriftligt, enkeltvis eller generelt. Er godkendelsen generel, har I krav på besked om ændringer og ret til at protestere. Efter stk. 4 forbliver moderselskabet fuldt ansvarligt over for jer for underdatabehandlernes opfyldelse.
Bed derfor om listen over de eksterne leverandører, der rører jeres data. Den er ofte sværere at få inden for en koncern end fra en ekstern leverandør, fordi ingen har haft grund til at lave den.
Det, datterselskabet kan gøre uden kontrakt
Uden en serviceaftale har datterselskabet stadig nogle muligheder. De bygger på praksis, ikke på en bestemt regel.
- Bed om en skriftlig beskrivelse af ydelsen: hvilke systemer, hvem der har adgang, og hvem der svarer ved hændelser.
- Bed koncernledelsen om en beslutning, der giver datterselskabet ret til de samme oplysninger, som en ekstern kunde ville få.
- Brug koncernens interne revision til at gennemgå de dele, der vedrører datterselskabet, og læg rapporten i jeres egen dokumentation.
- Bed om de erklæringer eller certifikater, koncernens IT-funktion allerede har, og kontrollér, at de dækker jeres systemer.
- Få jeres egen ledelse til at skrive, hvilken risiko den accepterer, hvis indsigten ikke kan skaffes.
Det sidste punkt gør ansvaret synligt. Et datterselskab, der ikke kan få indsigt, kan ikke dokumentere kontrol, og det bør stå på skrift, at ledelsen kender det.
Hvad det kræver, og hvad det koster at lade være
Det kræver en koncernintern aftale, mindst om databehandling, og en kanal til koncernledelsen, hvor datterselskabets krav kan rejses. Det kræver også, at datterselskabet selv ved, hvilke systemer det er afhængigt af.
Uden den indsigt står datterselskabet uden bevis for egen leverandørkontrol, hvis Datatilsynet eller en anden myndighed spørger. At moderselskabet ejer IT-afdelingen, ændrer ikke på, hvem der er dataansvarlig.
Det skal I lade være med
- At gå ud fra, at koncernen ikke kræver en databehandleraftale · artikel 28 gælder også mellem selskaber i samme koncern.
- At bruge koncernens egen gennemgang som uafhængigt tilsyn uden vurdering · Datatilsynet peger på problemet.
- At lade manglende indsigt stå uden en ledelsesbeslutning · ansvaret skal være synligt.
Det skal auditten kunne vise
- ☐ En koncernintern databehandleraftale med indholdet i artikel 28, stk. 3.
- ☐ En beskrivelse af ydelsen fra moderselskabet med systemer, adgang og kontaktpunkter.
- ☐ Dokumentation for kontrol, og en vurdering af hvor uafhængig den er.
- ☐ En koncernbeslutning eller aftale om datterselskabets ret til oplysninger.
- ☐ Ledelsens skriftlige stillingtagen, hvor indsigten mangler.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 3, nr. 20, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, betragtninger og artikel 7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om der findes en koncernintern databehandleraftale, og hvem der har underskrevet den på jeres vegne.
Læs også: Kend jeres egen leverance, før I auditerer · Risikoen, I ikke selv kan fjerne
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
