Det stærkeste bevis for, at leverandørens backup virker, er dokumentation for en gennemført gendannelse af jeres data, med dato og resultat. En oplysning om, at der tages backup hver nat, viser kun, at der bliver kopieret. Den viser ikke, at kopien kan bruges.
En sag, der endte med en dom i november 2024, gør forskellen konkret. Den handlede om en databehandler, der havde aftalt at afprøve sin backup og aldrig gjorde det.
Sagen: backuppen kunne ikke åbnes
Datatilsynet anmeldte i 2021 en databehandler til politiet. Databehandleren var et IT-firma, der behandlede oplysninger for en kunde. Ved et ransomwareangreb blev en server krypteret. Data kunne ikke gendannes, fordi de løbende sikkerhedskopier også var blevet krypteret, og fordi krypteringsnøglen ikke var sikret.
Datatilsynet vurderede ud fra databehandleraftalen, at det var databehandleren, der havde ansvaret for evnen til at genoprette tilgængeligheden. Ifølge tilsynet havde databehandleren ikke, som aftalt, etableret en procedure for at afprøve, om sikkerhedskopien kunne bruges til genopretning. Der var ikke lavet test, der kunne have afsløret, at nøglen ikke var tilgængelig.
Databehandleren blev idømt en bøde ved dom af 12. november 2024. Datatilsynet lagde bl.a. vægt på, at en effektiv og virksom backup er en afgørende sikkerhedsforanstaltning, og at der var tale om følsomme oplysninger om mange personer.
Bemærk to ting. Det var en dom ved domstolene efter Datatilsynets politianmeldelse og ikke en afgørelse fra Datatilsynet selv. Og grundlaget var det, parterne havde aftalt. Aftalen gjorde testen til leverandørens pligt.
Hvad loven og aftalen siger
Artikel 32 i databeskyttelsesforordningen gælder også for databehandleren. Stk. 1, litra c og d, handler om evnen til rettidigt at genoprette tilgængeligheden efter en hændelse og om regelmæssig afprøvning af foranstaltningerne. Datatilsynets skabelon til databehandleraftalen har i bilag C en rubrik, hvor kravene til genopretning skrives ind.
Det er den rubrik, auditten kan tage udgangspunkt i. Står der kun “databehandleren tager backup”, er der ikke meget at måle. Statens vejledning om cybersikkerhed i leverandørforhold bruger netop backup som eksempel på et krav, der er for løst formuleret. Vejledningen foreslår, at kravet angiver omfang, hyppighed og antallet af kopier online og offline.
Sikkerdigitals spørgeskema til leverandører spørger, hvor ofte backuppen testes, og hvornår den sidst blev testet. Vejledningen til skemaet siger, at leverandøren skal kunne redegøre for begge dele, og at der altid skal testes efter større ændringer. Det er vejledningens forventning og ikke et lovkrav.
Gennemførelsesforordning (EU) 2024/2690, der regulerer bl.a. cloududbydere og leverandører af administrerede tjenester, stiller i punkt 4.2 i bilaget krav om backupplaner, kontrol af integriteten og regelmæssige gendannelsestest med dokumenterede resultater. Over for andre leverandører er punktet en målestok.
Det bevis, I kan bede om
Sagen og kilderne peger på et sæt beviser. Listen er vores udledning og ikke et krav i loven.
- Rapport fra seneste gendannelsestest · At kopien kunne bruges, og hvornår det sidst blev vist
- Hvilke data der blev gendannet · At testen omfattede jeres egne data
- Hvor nøglerne til krypteret backup opbevares · At nøglen kan nås, selv om det beskyttede system er nede
- Antal kopier og placering · At ikke alle kopier kan rammes af samme angreb
- Test efter seneste større ændring · At ændringer ikke har brudt gendannelsen
Nøglepunktet er sagens kerne. En krypteret backup er værdiløs, hvis nøglen ligger på den server, der blev ramt. Spørg derfor direkte: Hvor ligger nøglen, og hvem kan hente den, hvis hele miljøet er krypteret?
Kan I selv være med?
Den stærkeste form for bevis er en gendannelse, I ser ske. Et tænkt eksempel: Leverandøren gendanner en bestemt database fra en kopi, der er tre uger gammel, til et adskilt miljø, og jeres systemejer kontrollerer bagefter, at et udvalg af poster er der. Tidsforbruget noteres.
Det kræver, at aftalen giver jer adgang til at deltage eller observere. Har I den ikke, kan I bede om leverandørens egen testrapport og spørge til den. Selve den tekniske opsætning af backuppen er et emne for en teknisk gennemgang. Her handler det om, hvad I kan kræve dokumenteret.
Når leverandøren har mange kunder
Hos en leverandør med mange kunder bliver gendannelsen ofte testet på et udvalg. Spørg, om jeres data har været med i en test, og hvornår. Spørg også, hvor jeres system står i rækkefølgen, hvis mange kunder skal gendannes på samme tid. Det spørgsmål hænger sammen med leverandørens beredskab.
Hvad det kræver, og hvad det koster at lade være
Det kræver et krav i aftalen, der siger, hvor ofte gendannelsen testes, og at resultatet udleveres. Derefter kræver det, at nogen hos jer læser rapporten og stiller opfølgende spørgsmål.
Uden bevis for gendannelse ved I først, om backuppen virker, når I har brug for den. Sagen fra 2024 viser, at ansvaret kan placeres hos leverandøren efter aftalen. Det hjælper ikke på de data, der er tabt.
Det skal I lade være med
- At acceptere “vi tager backup hver nat” som svar · bed om dato og resultat for seneste gendannelse.
- At glemme nøglerne · en krypteret kopi uden tilgængelig nøgle kan ikke gendannes.
- At lade backupkravet stå uden hyppighed og omfang · så er der intet at måle imod.
Det skal auditten kunne vise
- ☐ Aftalens krav til backup og gendannelse med hyppighed og omfang.
- ☐ Rapport fra seneste gendannelsestest, der omfatter jeres data.
- ☐ Leverandørens oplysning om, hvor nøgler til krypteret backup opbevares.
- ☐ Antal kopier og deres placering.
- ☐ Test efter seneste større ændring i miljøet.
- ☐ Opfølgning på afvigelser i testen.
Kilder
- Datatilsynet, Databehandler indstillet til bøde, 12. november 2024, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.2, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), spørgeskema og vejledning pkt. 2.C, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, bilag 5, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 4.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om rapporten fra den seneste gendannelsestest, der omfattede jeres data, og om svar på, hvor nøglerne ligger.
Læs også: Audit af hosting og datacenter · Sikkerhedsbilaget som auditgrundlag
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
