Når leverandøren ikke retter fundene til tiden, er det kontrakten, der bestemmer jeres næste skridt. Følg op skriftligt, eskalér gennem aftalens samarbejdsorganisation, og dokumentér hvert trin, så I har grundlaget, hvis sagen ender i aftalens bestemmelser om misligholdelse.
Artiklen er ikke juridisk rådgivning. Om et forhold er misligholdelse, og hvad I kan gøre ved det, afgøres af jeres egen aftale og eventuelt af en advokat.
Følg straks op, og dokumentér det
I statens vejledning om leverandørforhold står det som vigtigt, at kunden straks følger op på leverandørens afvigelser fra de aftalte krav og håndhæver kontrakten. Det er kundens ansvar at påpege manglen og kontrollere udbedringen. Hver kontrol bør skrives ned, fordi den kan blive nødvendig, hvis kontrakten skal håndhæves.
Et overskredet tidspunkt i handlingsplanen er den første afvigelse. Send en skriftlig påmindelse med henvisning til fundet, aftalens bestemmelse og den frist, der er overskredet. Bed om en forklaring og en ny dato. Gem korrespondancen sammen med auditrapporten.
Trappen gennem kontrakten
K04, statens standardkontrakt for drift, giver en model for eskaleringen, som mange private aftaler ligner. K04 er statens kontrakt og en model for private. Jeres egen aftale gælder.
- Samarbejdsorganisationen. Fundet tages op på det niveau, hvor det hører hjemme, typisk i det faste møde mellem parterne (K04 punkt 5).
- Forhandling med eskalation. Løses sagen ikke, eskaleres den til næste niveau i samarbejdsorganisationen (punkt 56.1).
- Mediation. Parterne forsøger mægling efter kontraktens regler (punkt 56.2).
- Voldgift. Sidste trin i kontraktens tvistløsning (punkt 56.4).
Vejledningen fra Center for Cybersikkerhed peger på samme vej internt hos kunden. Den kontraktansvarlige håndterer tvister og eskalerer til ledelsen efter behov.
Et uløst fund er ikke i sig selv væsentlig misligholdelse
K04 har en ophævelsesbestemmelse i punkt 44.1. Ved mangler kan kunden først ophæve, når manglen ikke er afhjulpet inden for et antal arbejdsdage efter en reklamation, kontrakten foreslår til [40]. Tallet i parentes er en pladsholder, parterne udfylder. Reklamationen skal konkret og præcist angive manglen og sige, at kunden anser den for væsentlig misligholdelse.
K04 har også en liste over forhold, der altid er væsentlig misligholdelse. Uløste auditfund står ikke på listen. Et fund, der ikke er lukket, bliver derfor ikke automatisk en væsentlig misligholdelse. Om det kan blive det, afhænger af, hvad fundet vedrører, og af aftalens ordlyd.
Det praktiske råd er at holde reklamationen præcis. En reklamation, der kun henviser til “fundene i auditrapporten”, siger ikke konkret, hvad manglen er.
Finansielle kunder har faste opsigelsesgrunde
DORA kræver, at aftaler med IKT-leverandører mindst kan opsiges ved bl.a. dokumenterede svagheder i leverandørens samlede IKT-risikostyring (artikel 28, stk. 7, litra c). Den delegerede forordning 2024/1773 siger i artikel 9, stk. 1, at politikken skal præcisere foranstaltningerne, når serviceniveauaftaler ikke overholdes, herunder kontraktlige sanktioner, hvis det er relevant.
Det gælder kun finansielle virksomheder. For andre er det en målestok for, hvad en aftale kan indeholde.
Ved manglende fremdrift: ledelsens beslutning
Når fremdriften udebliver, hentes forklaringen ind og skrives ned. Det er god skik i intern revision. Efter samme praksis vurderes det også, om ledelsen ved at lade stå til i realiteten har taget en større risiko, end den har sagt ja til.
Overført til en leverandør betyder det, at sagen skal frem til jeres egen ledelse, før den glider. Ledelsen kan beslutte at eskalere, at acceptere risikoen med en ny frist eller at begynde at overveje et leverandørskifte. Beslutningen bør stå på skrift.
Mens sagen står på
K04 siger i punkt 56.5, at parterne fortsat skal opfylde kontrakten, mens en tvist står på. Efter den model leverer leverandøren videre, mens I eskalerer, og I opfylder selv jeres del af aftalen. Har jeres aftale en anden regel, er det den, der gælder.
Imens ligger risikoen fra fundet stadig hos jer. Overvej, om I selv kan sætte en midlertidig kontrol ind, fx tættere overvågning af den adgang eller den proces, fundet handler om. Skriv den ind i jeres risikovurdering, så det er tydeligt, at den kun dækker perioden, indtil leverandøren har rettet.
Kontrollér oftere
En leverandør, der har svært ved at holde aftaler, bør efter Datatilsynets tilsynsvejledning fra 2021 kontrolleres oftere. En leverandør, der ikke lukker sine fund, bør derfor flyttes op i jeres tilsynsplan. Næste kontrol kan begynde med de åbne fund.
Hvad det kræver, og hvad det koster at lade være
Det kræver en person, der følger handlingsplanen, skriftlige påmindelser med henvisning til aftalen og en kanal til jeres egen ledelse. Det kræver også, at alle trin dokumenteres, mens de sker.
Uden opfølgning vænner leverandøren sig til, at fristerne ikke betyder noget. Uden dokumentation har I et svagt grundlag, hvis sagen ender i aftalens tvistregler.
Det skal I lade være med
- At vente til næste audit med at reagere · opfølgningen bør ske straks.
- At kalde et uløst fund væsentlig misligholdelse uden at have læst aftalen · det er ikke automatisk tilfældet.
- At lade sagen blive hos den kontraktansvarlige, når den går i stå · ledelsen skal tage stilling.
Det skal auditten kunne vise
- ☐ Skriftlige påmindelser med henvisning til fund, bestemmelse og frist.
- ☐ Leverandørens forklaringer og nye datoer.
- ☐ Referater fra samarbejdsorganisationen, hvor fundene er drøftet.
- ☐ Ledelsens beslutning om eskalation eller accept.
- ☐ En ændret tilsynsplan for leverandøren.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.3 og bilag 4, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 5, 44.1 og 56, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 7, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 9, stk. 1, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 5, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 15.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Send en skriftlig påmindelse for hvert fund med overskredet frist, med henvisning til aftalens bestemmelse.
Læs også: Hvornår er fundene alvorlige nok til at skifte leverandør? · Risikoen, I ikke selv kan fjerne
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
