Når en leverandør afviser audit eller ikke svarer, er jeres næste skridt at finde det sted i aftalen, der giver jer adgang, og henvise til det skriftligt. Datatilsynet beskriver den udvej, der gælder over for databehandlere: tilbyder leverandøren ikke det, tilsynet kræver, kan I kræve det eller gå et niveau op.
En intern afdeling kan ikke sige nej til en revision. En leverandør er en anden virksomhed og kan. Derfor afhænger jeres muligheder af, hvad der står i aftalen, og af om leverandøren behandler personoplysninger for jer.
Tre slags tavshed
Det er nyttigt at skelne, fordi de kræver forskellige svar.
Ingen svar. Skemaet eller anmodningen er sendt, og der er ikke kommet noget. Ofte skyldes det, at anmodningen er havnet hos en person uden ansvar for den.
Svar udenom. Der kommer svar, men de besvarer ikke spørgsmålet. Der henvises til en politik, en hjemmeside eller en anden kundes erklæring.
Nej. Leverandøren afviser at udlevere dokumentation eller at modtage en auditor. Begrundelsen er typisk fortrolighed, ressourcer eller at aftalen ikke giver retten.
Det, I kan stå på
Databehandleraftalen. Er leverandøren databehandler, kræver databeskyttelsesforordningen i artikel 28, at aftalen pålægger databehandleren to ting. Den ene er at give jer de oplysninger, I behøver for at kunne påvise, at artiklen er overholdt. Den anden er at medvirke ved revisioner og inspektioner, som I selv eller en revisor bemyndiget af jer gennemfører. Datatilsynets skabelon til databehandleraftaler gengiver kravet i sin bestemmelse 12. Det gælder kun, hvor leverandøren behandler personoplysninger på jeres vegne.
Datatilsynets vejledning. Vejledningen om tilsyn med databehandlere beskriver seks tilsynskoncepter. Den siger direkte, at det kan være nødvendigt at gå til et højere niveau, fordi databehandleren ikke tilbyder det, konceptet kræver. Kunne I nøjes med en årlig skriftlig status, men tilbyder leverandøren den ikke, må I enten kræve den eller bruge et koncept på et højere niveau. Vejledningen har ikke lovs rang, men den viser, hvordan Datatilsynet ser på situationen.
Den øvrige kontrakt. Uden for persondata følger jeres adgang af aftalen. Den statslige vejledning om leverandørforhold peger på en aftale, der forpligter leverandøren til at afsætte de fornødne ressourcer til rapportering og kontrol og til at bistå kunden ved kontrollen. Bygger aftalen på statens standardkontrakt K04, giver punkt 15 kunden adgang til audit med et varsel, som standardteksten sætter til 30 dage. Har kunden en kvalificeret og underbygget mistanke om, at kontrakten ikke bliver opfyldt, kan auditten ske uvarslet. Leverandøren må efter samme punkt ikke modsætte sig kundens valg af auditor uden saglig grund. Det gælder kun, hvis parterne har brugt K04.
Står der intet om revision i aftalen, og er leverandøren ikke databehandler, har I efter vores læsning af reglerne ingen lovbestemt adgang til at auditere. Mulighederne er beskrevet i ingen revisionsret i aftalen.
Trinene
Rækkefølgen nedenfor er praksis. Kun det sidste trin, at kræve eller gå et niveau op, har en myndighedskilde bag sig.
1. Find den rigtige modtager. Spørg jeres kontaktperson, hvem hos leverandøren der ejer kundernes sikkerhedsspørgsmål. Den statslige vejledning lægger op til, at leverandøren har en navngiven sikkerhedsansvarlig for leverancen, som kunden henvender sig til ved kontrol.
2. Gentag anmodningen skriftligt med en frist. Skriv præcist, hvad I beder om, og hvorfor. En kort, konkret anmodning er sværere at afvise end en lang liste.
3. Henvis til aftalen. Næste rykker nævner den bestemmelse, der giver jer adgangen: databehandleraftalens revisionsbestemmelse, sikkerhedsbilaget eller kontraktens punkt om kontrol. Den henvisning ændrer samtalen fra en tjeneste til en forpligtelse.
4. Tilbyd en mellemvej. Er begrundelsen fortrolighed, kan indsigt uden kopi løse det. Mulighederne står i leverandøren vil ikke udlevere dokumentation.
5. Løft sagen. Lad jeres kontraktansvarlige tage den med leverandørens kontraktansvarlige eller ledelse. Statens vejledning skriver, at kunden straks bør følge op på afvigelser fra de aftalte krav og håndhæve kontrakten, hvis leverandøren ikke lever op til sikkerhedskravene.
6. Kræv det, eller gå et niveau op. Over for en databehandler er det Datatilsynets ord. I praksis kan det betyde, at I erstatter et skema med en anmodning om en erklæring fra en uafhængig revisor eller med en inspektion.
Hvad der derudover kan gøres efter aftalens bestemmelser om misligholdelse, afhænger af den konkrete aftale og er et spørgsmål for jeres jurist.
Tavsheden er også et svar
Datatilsynet nævner i vejledningen, at problemer med at overholde aftaler taler for en høj frekvens af tilsyn. Statens vejledning nævner leverandørens vilje til at samarbejde som et af parametrene, når leverandører prioriteres. En leverandør, der ikke svarer, kan derfor med god grund flyttes op på listen over dem, der skal kontrolleres grundigere. Det er en tolkning af de to vejledninger.
Gem hele forløbet
Datatilsynets vejledning gentager under alle seks koncepter opfordringen til at gemme korrespondancen. Statens vejledning vil have kontrollen dokumenteret, så kunden senere kan håndhæve kontrakten. Anmodninger, rykkere, svar og jeres egne notater er tilsammen beviset for, at I har forsøgt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I kender aftalens bestemmelser om revision og oplysningspligt, før I skriver den første rykker, og at kontraktejeren er klar til at tage sagen videre.
Opgiver I efter første afslag, står tilsynet stille, og I kan ikke påvise, at leverandøren overholder aftalen. For en databehandler er det jeres pligt som dataansvarlig, der ikke er opfyldt.
Det skal I lade være med
- At skrive den anden rykker uden henvisning til aftalen · uden den er anmodningen en bøn.
- At acceptere en anden kundes materiale som svar · det dækker ikke nødvendigvis jeres ydelse.
- At vurdere misligholdelse uden jurist · følgerne afhænger af aftalen.
Det skal auditten kunne vise
- ☐ Anmodningen med dato, modtager og frist.
- ☐ Rykkere med henvisning til den konkrete bestemmelse.
- ☐ Den eskalation, der er sket, og hvem der tog den.
- ☐ Beslutningen om at kræve mere eller gå et niveau op, med begrundelse.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 3.1, 4.2 og kap. 5, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), dansk udgave, artikel 28, stk. 3, litra h, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4, 5.1 til 5.3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den bestemmelse i aftalen, der giver jer adgangen, og citér den i næste rykker.
Læs også: Sådan læser I et udfyldt spørgeskema · Leverandøren lukker ikke fundene
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
