Når leverandøren er én person, er kontrollen kort, men den skal ramme det væsentlige. Fem punkter dækker de fleste tilfælde: en skriftlig aftale, der svarer til opgaven, et klart billede af den adgang, personen har, hvordan personens egen computer og konti er beskyttet, hvad der sker med jeres data hos personen, og hvordan adgangen lukkes, når opgaven er slut.
En freelancer med administratoradgang til jeres systemer har samme adgang som en stor driftsleverandør. Forskellen er, at der ikke er en organisation omkring personen, der fanger fejl.
Forholdsmæssighed
Myndighedens vejledning om NIS 2-foranstaltninger lægger op til, at kravene til en leverandør bør afspejle, hvor meget leverancen betyder. Ifølge vejledningen bør enheden gå risikobaseret til værks for at undgå unødigt høje krav. Det er grundlaget for en lettere kontrol af en enkeltperson.
Lettere betyder ikke, at det væsentlige springes over. Det betyder, at I vælger de punkter, der bærer risikoen, og lader resten ligge.
Hvilke regler kan være i spil
Persondata. Behandler freelanceren personoplysninger på jeres vegne, er personen efter vores læsning databehandler, og der skal være en aftale med det indhold, databeskyttelsesforordningens artikel 28, stk. 3, kræver. Det gælder også, selv om leverandøren kun er én person. Om en konkret freelancer er databehandler, afhænger af opgaven.
NIS 2. For udbydere af cloud- og administrerede tjenester nævner bilaget til gennemførelsesforordning (EU) 2024/2690 i punkt 5.1.4 krav til færdigheder, uddannelse og baggrundskontrol hos leverandørens personale. Styrelsen for Samfundssikkerheds vejledning siger, at aftaler kan indeholde den slags krav, når personalet arbejder med enhedens kritiske aktiver. Hos en freelancer er personalet personen selv.
Finansielle kunder. DORA’s standardmodel for registret over aftaler med tredjepartsudbydere skelner mellem en juridisk person og en enkeltperson, der handler som led i sit erhverv. En freelancer kan altså være en registreret tredjepartsudbyder hos en finansiel kunde. Det har kun betydning, hvis I er en finansiel enhed.
De fem kontrolpunkter
Kontrolpunkterne er praksis.
- Aftalen · Skriftlig aftale med fortrolighed og, ved persondata, indholdet fra artikel 28
- Adgangen · Hvilke konti personen har, med hvilke rettigheder, og om de er personlige
- Udstyret · Om computeren er krypteret, opdateret og beskyttet med stærk login, og om andre bruger den
- Data hos personen · Hvilke af jeres data der ligger lokalt eller i personens egne tjenester
- Afslutningen · Hvordan og hvornår adgangen lukkes, og hvordan lokale data slettes
Punktet om udstyret er særligt for typen. En freelancer arbejder tit på egen computer, som også kan bruges til andre kunder og privat. I kan ikke auditere computeren, men I kan bede om en skriftlig bekræftelse af de konkrete punkter og stille krav i aftalen.
Delte konti
Det kan være fristende at give en freelancer adgang via en delt administratorkonto, fordi det går hurtigt. Så kan I bagefter ikke se, hvad personen har gjort, og adgangen lukkes ikke, når opgaven slutter, uden at alle andre også mister den.
Et tænkt eksempel: En konsulent har i to år haft adgang til jeres firewall via den samme konto som jeres egen IT-medarbejder. Konsulenten er stoppet, men adgangskoden er ikke skiftet. Fundet kræver en personlig konto til konsulenten fremover og et skift af den fælles adgangskode nu.
Når personen ikke kan træffes
En leverandør på én person har ingen stedfortræder. Bliver freelanceren syg eller holder op, skal I selv kunne komme videre. Kontrollér derfor også det modsatte af adgangen: har I selv de administratoradgange, domæner og licenser, freelanceren arbejder med? Står de i jeres navn? Findes der en opdateret beskrivelse af, hvad personen har sat op?
Et spørgsmål, der afslører meget, er, hvem der ejer kontoen hos de tjenester, freelanceren har oprettet for jer. Står den i personens navn, er det et fund, selv om samarbejdet går godt.
Konsulenter gennem en leverandør
Kommer konsulenten gennem en leverandør, er det leverandørens rutiner for personale, der skal kontrolleres. Det er beskrevet under leverandørens medarbejdere og konsulenter. Denne artikel handler om den situation, hvor aftalen er direkte med personen.
Kort kontrol, gentaget
En almindelig fremgangsmåde er at gennemgå de fem punkter, når aftalen indgås, og gentage dem kort hvert år eller ved en ny opgave. Gennemgangen kan være en samtale og en skriftlig bekræftelse fra personen. Det tager ikke lang tid, og det giver jer dokumentation for, at I har stillet krav.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig aftale, personlige konti og en kort gennemgang ved start og slut. Det er en lille indsats målt mod den adgang, personen får.
Uden kontrol står I med en person, der har nøglerne til jeres systemer, og ingen dokumentation for, hvordan de opbevares. Når opgaven slutter, ved ingen, om adgangen blev lukket.
Det skal I lade være med
- At give freelanceren en delt konto · så kan hverken handlinger eller lukning styres.
- At glemme databehandleraftalen, fordi leverandøren er én person · kravet afhænger af opgaven.
- At kræve en fuld audit af en enkeltperson · vælg de punkter, der bærer risikoen.
Det skal auditten kunne vise
- ☐ Skriftlig aftale med fortrolighed og eventuelt indhold efter artikel 28.
- ☐ Liste over personens konti og rettigheder.
- ☐ Personens skriftlige bekræftelse af beskyttelse af udstyr.
- ☐ Oversigt over jeres data hos personen.
- ☐ Dato og bevis for lukning af adgang og sletning af data ved opgavens ophør.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.1.4, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2956, bilag I, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2022/2554 (DORA), artikel 3, nr. 19, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over de freelancere og konsulenter, der har adgang til jeres systemer nu, og hvilke konti de bruger.
Læs også: Audit af den lille leverandør · Webbureauet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
