Driver I et samfundskritisk it-system for en myndighed, styrer myndigheden jer efter to kataloger fra Digitaliseringsstyrelsen. Kataloget fra marts 2022 indeholder de kontraktbestemmelser, I vil møde i aftalen. Kravene fra januar 2023 beskriver myndighedens egen styring, og de bestemmer, hvad myndigheden vil bede jer om hvert år.
Artiklen er skrevet til leverandøren. Formålet er, at I kan forudse kravene og have materialet klar, før myndigheden spørger. Myndighedens egen side af sagen hører til et andet site.
To dokumenter med hver sin modtager
Kataloget fra marts 2022, “Katalog over kontraktbestemmelser for samfundskritiske it-systemer”, er bestemmelser, myndigheden skriver ind i kontrakten med jer. Myndigheden følger som udgangspunkt kataloget efter et følg-eller-forklar-princip og kan på baggrund af en risikovurdering skærpe eller tilføje bestemmelser. Kataloget har fire temaer: driftsafvikling, sikkerhed, persondata og kontrol.
Kravene fra januar 2023, “Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer”, retter sig mod myndigheden og ikke mod jer. De beskriver, hvordan myndigheden skal organisere sin styring af leverandøren. Myndigheden vurderer selv, om et system er samfundskritisk.
Kravene fra 2023 udspringer af den nationale strategi for 2022 til 2024. Om de gælder i uændret form efter strategiperioden, er ikke undersøgt her. Teksten nedenfor gengiver dokumenterne, som de står.
Det, der står i kontrakten
Afsnit 4.1 i kataloget fra 2022 handler om revision, kontrol og audit. Det er den del, der mærkes mest hos leverandøren.
I skal regelmæssigt foretage egenkontrol, også af underleverandørers ydelser. Mindst én gang om året skal et revisionsfirma, I selv vælger, med anerkendt sagkundskab i it-revision, gennemføre revision, også af underleverandørerne. Erklæringen sendes til myndigheden inden for en frist, kataloget foreslår til [60] dage efter den periode, erklæringen dækker. Har revisor forbehold eller bemærkninger, følger revisionsgrundlaget og en handlingsplan med, og revisor supplerer erklæringen, når forholdet er bragt i orden.
Myndigheden har ret til med et aftalt varsel at gennemføre audit selv eller lade den gennemføre. Er der en velbegrundet og dokumenteret mistanke om, at I ikke lever op til aftalen, kan myndigheden komme uden varsel. Kataloget nævner desuden ISAE 3000-erklæringer med høj grad af sikkerhed om sikkerhedskravene og om databeskyttelse med et aftalt interval.
Kataloget henviser selv til statens standardkontrakt for it-drift, K04 (punkterne 15 og 16 samt bilag 4.e) som en måde at gennemføre bestemmelserne på. Bemærk en forskel i ordlyden. K04 kræver en ekstern statsautoriseret revisor, kataloget nøjes med et revisionsfirma, der har anerkendt ekspertise i it-revision.
Andre bestemmelser, I kan forudse
Kataloget har flere bestemmelser med betydning for jer. En samarbejdsorganisation med repræsentanter, der kan træffe beslutninger. Dokumentation, der er god nok til, at en anden leverandør kan overtage. Statusrapporter. Test af, at sikkerhedsbilagets krav er opfyldt, når myndigheden beder om det. Oplysning om lokationer. Logning, der opbevares i 13 måneder. Opsigelsesret ved ejerskifte. Et ledelsessystem for informationssikkerhed efter ISO 27001 eller tilsvarende. Og skriftlig orientering om alvorlige sikkerhedshændelser.
Det, myndigheden vil bede jer om hvert år
Kravene fra 2023 beskriver myndighedens styring i tre temaer. Ud fra dem kan man udlede, hvad myndigheden har brug for fra jer. Sammenstillingen er vores egen.
- Risikovurdering mindst årligt og ved væsentlige ændringer, hændelser og tilsyn · Input fra jer og jeres underleverandører til vurderingen og til en fælles handleplan
- Beredskabsplan med input fra leverandøren · Jeres bidrag til planen
- Beredskabsøvelse mindst årligt eller ved væsentlige ændringer · Deltagelse i øvelsen
- Løbende driftsopfølgning, hvor sikkerhedskravene følges med faste målepunkter · Rapportering, der kan måles mod kravene
- Skærpet tilsyn, der fx kombinerer skriftlige undersøgelser, test, revision og besøg · Adgang og materiale til et sådant tilsyn
- Kontraktbibliotek og dokumentation som referater, risikovurderinger og erklæringer · Ordnet dokumentation, der kan arkiveres hos myndigheden
Kravene skulle efter dokumentet være gennemført senest ved udgangen af 2023. For eksisterende kontrakter skrev Digitaliseringsstyrelsen, at de gennemføres, for så vidt det er muligt, fordi nogle krav forudsætter beføjelser, der ikke nødvendigvis står i kontrakten. En ny aftale eller et tillæg kan derfor bringe kravene ind senere.
Når I selv bruger underleverandører
Kataloget fra 2022 lægger ansvaret for kæden hos jer. Egenkontrollen skal også dække underleverandørernes ydelser, og den årlige revision skal omfatte dem. Bruger I et datacenter, en backupudbyder eller en konsulent til driften, skal deres del altså med i det, I sender til myndigheden.
Det kræver, at jeres egne aftaler med underleverandørerne giver jer den nødvendige adgang. Mangler den, kan I ikke levere det, myndigheden har krav på efter jeres kontrakt. Det er en god grund til at læse jeres egne underleverandøraftaler igennem, før I byder på en opgave med et samfundskritisk system. Hvordan kontrollen føres ned i kæden, er beskrevet under revisionsret over for underleverandører.
Sådan forbereder I jer
En leverandør kan samle materialet i én årlig pakke: revisionserklæringen, status på handlingsplaner, bidrag til risikovurderingen, deltagelse i seneste øvelse og målepunkterne fra driftsrapporteringen. Det er praksis og ikke et krav. Hvordan kundeaudits kan gøres til en fast proces, er beskrevet under kundeaudits som fast proces.
Myndighedens side, med offentlige regler og tilsyn, er et emne for sitet om offentlig it-audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I kender begge dokumenter og kan levere materialet i den rytme, myndigheden arbejder i. Erklæringer og øvelser skal planlægges et år frem.
Kan I ikke levere, står myndigheden med et krav, den ikke kan opfylde. Det bliver jeres problem ved næste forhandling, og et skærpet tilsyn kan blive udløst.
Det skal I lade være med
- At læse kravene fra 2023 som jeres kontrakt · de er myndighedens styring, ikke jeres pligt.
- At glemme underleverandørerne · både egenkontrol og revision skal omfatte dem.
- At vente på, at myndigheden spørger · materialet kan forudses.
Det skal auditten kunne vise
- ☐ Den årlige revisionserklæring, der også dækker underleverandører.
- ☐ Handlingsplaner for forbehold og bemærkninger og revisors supplerende erklæring.
- ☐ Jeres bidrag til myndighedens risikovurdering og beredskabsplan.
- ☐ Deltagelse i seneste beredskabsøvelse.
- ☐ Driftsrapportering mod konkrete målepunkter.
Kilder
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, indledning og afsnit 1, 2 og 4, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 15, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres kontrakt med myndigheden frem, og markér, hvilke af bestemmelserne i afsnit 4.1 den indeholder.
Læs også: Den årlige status til kunderne · Fra ingen dokumentation til den første erklæring
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
