Over for leverandørens ansatte har I kun den indflydelse, aftalen giver. Det, I kan kræve dokumenteret, er en ajourført liste over de personer, der har adgang til jeres data, bevis for, at hver af dem er omfattet af fortrolighed, og at leverandøren har en procedure for kontrol før adgang og for uddannelse, som bliver fulgt.
Det gælder også, når leverancen bæres af konsulenter, der skifter fra måned til måned. Netop dér er listen sværest at holde ved lige.
Andres ansatte
Jeres egne medarbejdere kan I stille krav til direkte. Leverandørens kan I ikke. Kravene skal gå gennem aftalen, og kontrollen består i at se, om leverandøren opfylder dem. Personalesikkerhed for egne ansatte i en NIS2-audit er et andet emne, som behandles under kundens egen sikkerhedsaudit.
Hvad aftalen kan indeholde
Bilaget til gennemførelsesforordning (EU) 2024/2690 nævner i punkt 5.1.4 under litra b og c, at kontrakter med leverandører, hvor det er relevant, skal angive krav til oplysning, færdigheder og uddannelse hos leverandørens ansatte og til baggrundskontrol af dem. Punkt 10.2 åbner for baggrundskontrol, så vidt det er muligt, og strækker den til direkte leverandører, når rollen gør det nødvendigt. Kontrollen sker før tiltrædelse og under hensyn til gældende love og etiske regler.
Uden for forordningens kreds af digitale udbydere er punkterne en målestok.
NIS 2-vejledningen fra Styrelsen for Samfundssikkerhed åbner for, at baggrundskontrollen kan række ud til konsulenter og direkte leverandører, når risikovurderingen peger på det. Den nævner også, at en leverandøraftale kan kræve kontrol af de folk, der rører enhedens kritiske aktiver. Ordet er “kan”. Det er et valg, kunden træffer ud fra risikoen.
Fortrolighed: den del, der står i skabelonen
Har I brugt Datatilsynets skabelon til databehandleraftalen, kræver bestemmelse 5 fortrolighed eller lovbestemt tavshedspligt hos alle, databehandleren giver adgang. Listen over personer med adgang skal løbende gennemgås. Beder I om det, skal databehandleren kunne dokumentere tavshedspligten.
Det er den mest konkrete ret, I har. Bed om listen, og bed om påvisningen for et udvalg. Sikkerdigitals spørgeskema til leverandører spørger i samme retning, om medarbejdere med adgang har underskrevet en fortrolighedserklæring.
Baggrundskontrol: procedure frem for oplysninger
Baggrundskontrol berører regler om behandling af oplysninger om ansatte, fx straffeattester. Hvad leverandøren må indhente om sine medarbejdere, er et juridisk spørgsmål, som denne artikel ikke vurderer.
For kunden er det tilstrækkeligt at kræve to ting: at leverandøren har en procedure for kontrol før adgang til jeres data, og at den er fulgt for de personer, der har adgang. Resultaterne af kontrollen har I ikke brug for. Det, I har brug for, er bevis for, at den er udført.
Et tænkt eksempel på et svar, der kan bruges: “Alle med administratoradgang til kundens miljø er kontrolleret efter procedure P-07 før tiltrædelse. Dato for kontrol for de fem personer på stikprøven fremgår af vedlagte oversigt.”
Uddannelse og kompetence
Spørg til, hvilken uddannelse i sikkerhed leverandørens folk får, og hvornår de seneste fik den. Krav til færdigheder og certificeringer hos leverandørens ansatte kan skrives ind i aftalen, hvor det er relevant for opgaven. Uden et krav i aftalen er svaret en oplysning og ikke noget, I kan holde leverandøren op på.
Skiftende konsulenter
Mange leverancer bæres af konsulenter, som leverandøren selv køber ind. Det giver tre spørgsmål:
- Hvem har adgang i dag? · En ajourført liste med navn, rolle og dato for adgang
- Er hver person omfattet af fortrolighed? · Påvisning for et udvalg, jf. skabelonens bestemmelse 5
- Er kontrol før adgang udført? · Dato for kontrol efter leverandørens procedure
En almindelig fremgangsmåde er at aftale, at listen sendes til jer ved hver ændring eller med faste mellemrum. Så kan I sammenligne den med jeres egne oplysninger om, hvem der har været i kontakt med jeres systemer. Listen hænger sammen med kontrollen af til- og fratrædelser hos leverandøren.
Når leverandøren bruger underleverandører til folk
Køber leverandøren konsulenter gennem et bureau eller en underleverandør, er der et led mere. Fortroligheden skal stadig omfatte den enkelte person, der får adgang. Spørg, om leverandørens aftale med bureauet kræver fortrolighed og kontrol før adgang, og om leverandøren selv kan påvise det for de personer, der arbejder for jer. Svaret er ofte, at bureauet står for det. Så er det dokumentationen fra bureauet, I beder om at se.
Hvad det kræver, og hvad det koster at lade være
Det kræver bestemmelser i aftalen om fortrolighed, en ajourført liste og, hvor risikoen kræver det, kontrol før adgang. Derefter kræver det en stikprøve med jævne mellemrum.
Uden kontrol ved I ikke, hvem der har adgang til jeres data. Ved en hændelse er listen det første, I får brug for.
Det skal I lade være med
- At bede om resultaterne af leverandørens baggrundskontrol · bed om bevis for, at proceduren er fulgt.
- At glemme konsulenterne · de skifter oftest og står sjældnere på listen.
- At skrive krav om baggrundskontrol for alle uden en risikovurdering · vejledningen knytter det til kritiske aktiver.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelser om fortrolighed, kontrol før adgang og uddannelse.
- ☐ Ajourført liste over personer med adgang til jeres data.
- ☐ Påvisning af fortrolighed for et udvalg af personerne.
- ☐ Leverandørens procedure for kontrol før adgang og dato for udførelse i stikprøven.
- ☐ Oplysning om seneste uddannelse i sikkerhed for personer med adgang.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.1.4, 10.1 og 10.2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4 og afsnit 9.a, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 5, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), pkt. 4.C, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om listen over personer med adgang til jeres data, og vælg tre, som I beder om påvisning af fortrolighed for.
Læs også: Konsulenter og freelancere med adgang · Hænger sikkerheden på én person?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
