Når kunden auditerer jer, og hosting eller drift ligger hos en underleverandør, er det jer, der står til ansvar for hele leverancen. Kunden vil se jeres kontrol med leddet bag jer, og det bevis skal I have, før kunden spørger. Hvad kunden selv kan komme til at se hos underleverandøren, afhænger af aftalerne i begge led.
Artiklen er skrevet til jer som mellemled. Den handler både om selve auditten og om det krav, mange kunder nu stiller, at I selv kontrollerer jeres underleverandører.
Ansvaret ligger hos jer
Er I databehandler, siger databeskyttelsesforordningens artikel 28, stk. 4, at en underdatabehandler pålægges de samme databeskyttelsesforpligtelser som jer. Opfylder den dem ikke, forbliver I fuldt ansvarlige over for kunden.
K04, statens standardkontrakt for drift, har en tilsvarende tanke for alle ydelser. I punkt 10 svarer leverandøren for underleverandørernes ydelser på samme måde som for sine egne. Punkt 15 lader den årlige revision omfatte underleverandører. Bestemmelserne gælder kun, hvis de er aftalt.
Over for kunden kan I derfor ikke henvise til, at et forhold ligger hos underleverandøren. Kunden auditerer jeres leverance, og underleverandøren er en del af den.
Jeres eget tilsyn er beviset
Kapitel 6 i Datatilsynets tilsynsvejledning lægger tilsynet med underdatabehandlerne hos databehandleren. Den dataansvarlige skal sikre sig, at det bliver gjort, og vejledningen nævner som eksempel, at databehandleren sender kunden dokumentationen for de tilsyn, der er ført.
Skabelonen til databehandleraftaler viser i bilag C.8 en fremgangsmåde. Mellemleddet skaffer en erklæring om leddet bagved eller tager selv derud, og resultatet går videre til kunden.
At det betyder noget, viser en afgørelse fra december 2022. Datatilsynet lagde vægt på, at den dataansvarlige havde bedt om dokumentation for databehandlerens tilsyn med underdatabehandlerne.
Statens vejledning om cybersikkerhed i leverandørforhold fra 2022 anbefaler i bilag 2, at kontrakten forpligter leverandøren til at føre kontrol med sine underleverandører og dokumentere de udførte tilsyn over for kunden.
Ud fra kilderne er det dette bevis, kunden har grund til at bede om:
- Listen over underleverandører med ydelse og lokation.
- Underleverandørens seneste erklæring eller certifikat med omfang og periode.
- Jeres egen gennemgang af erklæringen med jeres vurdering af afvigelser.
- De kontroller, underleverandørens erklæring forudsætter, at I har, og beviset for, at I har dem.
- Referater eller rapporter fra jeres egne tilsyn.
Hvem møder
Den praktiske audit hos jer kan som regel klares med jeres egne folk, når I har beviset ovenfor. Spørger kunden til forhold, der kun kan besvares af underleverandøren, er der tre muligheder:
- I svarer ud fra underleverandørens erklæring og jeres eget tilsyn.
- I beder underleverandøren om at stille med en kontaktperson til en del af mødet.
- Kunden eller kundens auditor besøger underleverandøren.
Den sidste mulighed kræver, at aftalerne giver adgang til det.
Hvilken adgang aftalerne giver
Efter samme bilag kan kunden selv tage initiativ til et besøg hos jeres underleverandør og være med, når jeres egen kontrol ikke har været tilstrækkelig. Det ændrer ikke ved, at databehandleren fortsat er fuldt ansvarlig. Har aftalen K04’s punkt 10, skal I desuden hjælpe kunden i direkte kontakt med underleverandøren, når kunden beder om det.
Er kunden en finansiel virksomhed, og understøtter ydelsen kritiske eller vigtige funktioner, lægger delegeret forordning 2025/532 i artikel 3 op til, at også jeres underleverandør giver kunden og tilsynet ret til adgang og inspektion på samme vilkår.
Det, I kan love kunden, er det, jeres egen aftale med underleverandøren giver. Læs den før auditten. Står der intet om kundens adgang, kan I ikke love den. Forhandl den ind ved næste fornyelse, hvis jeres kunder kræver den.
Erklæringens metode betyder noget
Har I selv en ISAE 3402-erklæring, er underleverandøren enten med efter inclusive-metoden eller udeladt efter carve-out. Ved carve-out er underleverandørens kontroller ikke testet i jeres erklæring. Til gengæld skal beskrivelsen indeholde jeres egne kontroller med underleverandøren, fx gennemgangen af dens erklæring. Kunden vil derfor se både jeres erklæring, underleverandørens erklæring og jeres gennemgang. Se fra ingen dokumentation til den første erklæring.
Kunden kender hele kæden
EU’s databeskyttelsesråd lægger i en udtalelse fra oktober 2024 vægt på, at kunden til enhver tid kan se, hvem alle leddene er, og at databehandleren selv holder kunden opdateret. Gengivelsen er en oversættelse fra engelsk. Kunden kan bygge på jeres oplysninger og supplere, hvis de virker ufuldstændige.
Hold derfor listen opdateret, også med leddene bag jeres underleverandør, i det omfang I kender dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale med underleverandøren, der giver jer og jeres kunder den adgang, I lover, og et dokumenteret tilsyn med leddet bag jer hvert år.
Uden det bevis står I i auditten uden svar på en del af jeres egen leverance. Kunden kan ikke påvise sit tilsyn, og fundet havner hos jer.
Det skal I lade være med
- At henvise kunden til underleverandøren · ansvaret over for kunden er jeres.
- At love kunden besøg hos underleverandøren uden aftale · I kan kun give det, I selv har.
- At videresende underleverandørens erklæring uden egen gennemgang · kunden vil se jeres vurdering.
Det skal auditten kunne vise
- ☐ En opdateret liste over underleverandører med ydelse og lokation.
- ☐ Underleverandørens erklæring og jeres dokumenterede gennemgang af den.
- ☐ Bevis for de kontroller, underleverandørens erklæring forudsætter hos jer.
- ☐ Aftalen med underleverandøren og den adgang, den giver jer og jeres kunder.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 4, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7 og bilag C.8, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 6, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0098, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, bilag 2, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 10 og 15, læst 12. november 2026.
- IAASB, ISAE 3402 (Handbook 2013), afsnit 9, læst 12. november 2026.
- Det Europæiske Databeskyttelsesråd, Opinion 22/2024, 7. oktober 2024, Executive summary, læst 12. november 2026.
- Delegeret forordning (EU) 2025/532, artikel 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs aftalen med jeres underleverandør, og notér, hvilken adgang den giver jer og jeres kunder.
Læs også: Underleverandører i kundens audit · Er underleverandørens kontroller med i erklæringen?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
