Fører en myndighed tilsyn med jer, kan den have brug for oplysninger, som kun jeres IT-leverandør har. Leverandørens pligt til at hjælpe følger som udgangspunkt af jeres aftale og ikke af tilsynsreglerne. Det gør punktet om samarbejde med myndigheder til en del af kontrakten, der bør stå der, før tilsynet varsles.
Auditten har her en tredje part, som hverken er kunde eller leverandør. Emnet er aftalepunktet og leverandørens forberedelse. Selve tilsynets kontrol hos kunden er et andet emne.
NIS 2: et eksempel på aftaleindhold
Styrelsen for Samfundssikkerhed har skrevet en vejledning til NIS 2-loven, og kapitlet om leverandørstyring rummer en række punkter, en aftale med leverandøren kan indeholde. Et af dem er, at direkte leverandører og tjenesteudbydere samarbejder med enheden om at bistå de sektoransvarlige myndigheder, hvis enheden er under tilsyn.
Ordlyden er et eksempel. Den er ikke et krav. NIS 2-loven giver tilsynet beføjelser over for den omfattede virksomhed. Det er ikke undersøgt her, at tilsynet efter loven skulle have en selvstændig ret til at gå ind hos virksomhedens leverandør. Adgangen hos leverandøren må derfor sikres i aftalen.
Energisektoren: et krav
I energisektoren er punktet ikke frivilligt. Bekendtgørelse nr. 260 af 6. marts 2025 kræver i § 30, nr. 4, at virksomheden i aftaler med direkte leverandører og tjenesteudbydere sikrer, at leverandørerne kan tages med ind, når Energistyrelsen holder tilsyn med virksomheden.
Energistyrelsens vejledning i leverandørstyring forklarer, at styrelsen ikke selv kan føre tilsyn med leverandøren efter bekendtgørelsen. Den kan til gengæld bede om, at leverandøren deltager i tilsynet med virksomheden. Kontrakten bør sikre, at leverandøren kan deltage, enten ved at møde op eller ved at stille op til interviews pr. telefon eller online i det varslede tidsrum. Hele aftalegrundlaget i sektoren er beskrevet under leverandør i energisektoren.
Finanssektoren: fuldt samarbejde
DORA gælder for finansielle virksomheder og går længst. Artikel 30, stk. 2, litra g, kræver, at alle aftaler om IKT-tjenester indeholder leverandørens forpligtelse til at samarbejde fuldt ud med den finansielle enheds kompetente myndigheder og afviklingsmyndigheder, herunder de personer, de udpeger. For tjenester til kritiske eller vigtige funktioner har myndigheden desuden en ret til adgang, inspektion og revision på stedet efter artikel 30, stk. 3, og leverandøren skal samarbejde fuldt ud under inspektionerne.
For andre virksomheder er DORA en målestok. Den viser, hvor detaljeret punktet kan skrives.
Databehandlere: myndigheden i aftalen
Er leverandøren databehandler, har databehandleraftalen allerede noget at sige. Datatilsynets skabelon kræver i bestemmelse 12, at databehandleren giver tilsynsmyndigheder, der efter lovgivningen har adgang til databehandlerens faciliteter, adgang mod behørig legitimation. EU-Kommissionens standardbestemmelser fra 2021 lader i bestemmelse 7.6 parterne stille oplysninger, herunder revisionsresultater, til rådighed for tilsynsmyndigheden, når den anmoder om det.
Hvad punktet i aftalen kan indeholde
Ud fra kilderne kan et punkt om bistand ved tilsyn dække disse elementer. Sammenfatningen er vores og en tolkning, ikke en færdig klausul.
- Hvornår · Gælder pligten ved alle tilsyn eller kun bestemte myndigheder?
- Form · Skriftlige oplysninger, interview, møde eller fysisk adgang?
- Frist · Hvor hurtigt skal leverandøren reagere, når tilsynet er varslet?
- Personer · Hvem hos leverandøren stiller op, og kan de træffe beslutninger?
- Underleverandører · Gælder pligten også dem, der driver en del af ydelsen?
- Fortrolighed · Hvordan beskyttes leverandørens andre kunder under tilsynet?
- Betaling · Er bistanden en del af ydelsen, eller betales den efter tid?
Jeres egen audit som materiale til tilsynet
Et tilsyn kan spørge efter det, I allerede har. Har I auditeret leverandøren, eller har I modtaget en erklæring, er det materiale, myndigheden kan bede om. EU-Kommissionens standardbestemmelser for databehandlere nævner udtrykkeligt, at resultaterne af revisioner stilles til rådighed for tilsynsmyndigheden på anmodning.
Det har to følger. Rapporten fra jeres leverandøraudit bør være skrevet, så en udenforstående kan læse den. Og aftalen med leverandøren om fortrolighed bør tage højde for, at rapporten kan blive vist til en myndighed. Står der i aftalen, at rapporten kun må ses af kunden, kan det give en konflikt, når tilsynet beder om den. Det er vores vurdering og ikke en juridisk afklaring.
Hvordan rapporten kan bygges op, er beskrevet under rapporten fra en leverandøraudit.
Til leverandøren
Et tilsyn hos en kunde kommer med kort varsel og efter myndighedens plan. En leverandør, der har flere kunder i regulerede sektorer, kan forberede sig på nogle få ting. En kontaktperson, der kender kundens ydelse. En opdateret beskrivelse af ydelsen og de kontroller, der hører til den. Adgang til seneste erklæring eller audit. Og en aftale med egne underleverandører om, at de også kan stille op.
Det er praksis og ikke et krav. Forberedelsen til en kundeaudit er beskrevet under kunden har varslet audit, og meget af den kan genbruges.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at punktet står i aftalen, at leverandøren kender det, og at begge parter ved, hvem der stiller op. I regulerede sektorer kræver det også, at ordlyden passer til den myndighed, der fører tilsyn.
Uden punktet står kunden over for myndigheden med spørgsmål, kun leverandøren kan svare på, og ingen ret til at få svaret i tide. I energisektoren er det desuden et brud på et krav i bekendtgørelsen.
Det skal I lade være med
- At gå ud fra, at tilsynet selv kan gå ind hos leverandøren · adgangen følger af aftalen.
- At skrive punktet uden frist og form · tilsynets tidsplan venter ikke.
- At glemme underleverandørerne · driften kan ligge hos dem.
Det skal auditten kunne vise
- ☐ Aftalens punkt om leverandørens bistand ved tilsyn, med henvisning.
- ☐ Om punktet dækker form, frist, personer og underleverandører.
- ☐ Navngiven kontaktperson hos leverandøren.
- ☐ I regulerede sektorer: at ordlyden svarer til sektorens krav.
- ☐ Hvordan bistanden blev givet ved seneste tilsyn, hvis der har været et.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kapitel 4, læst 12. november 2026.
- Bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, § 30, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1 af 6. juli 2026, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2 og 3, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Søg i jeres vigtigste driftsaftale efter ordet tilsyn, og notér, om leverandøren har pligt til at bistå, og i hvilken form.
Læs også: Leverandør til en finansiel virksomhed · Kundeaudits som fast proces
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
