En lille leverandør uden egen sikkerhedsfunktion kan klare de fleste kundeaudits med syv ting i orden: en ansvarlig, styr på adgang, logning, sikker forbindelse, en fremgangsmåde ved brud, en liste over underleverandører og en plan for ophør. Kunden spørger, fordi jeres adgang til kundens systemer gør jer til en del af kundens sikkerhed.
Artiklen er skrevet til den lille leverandør. Listen er en udvælgelse ud fra kilderne og ikke et krav. Hvad den enkelte kunde kræver, står i jeres aftale med kunden.
Hvorfor kunden spørger jer
I sin trusselsvurdering om it-serviceudbydere pegede Center for Cybersikkerhed på, at udbydernes adgang til kunderne er “legitime, nødvendige og ofte særlige”, og at det gør dem interessante for angribere. Vurderingen er fra 2020. Styrelsen for Samfundssikkerheds oversigt over trusselsvurderinger viste 12. november 2026 ingen nyere vurdering særskilt om it-serviceudbydere, så det er den seneste, der er fundet.
Pointen gælder uanset størrelse. En leverandør med få ansatte og fjernadgang til kundens servere er en vej ind til kunden.
De syv punkter
Punkterne bygger på tre kilder. Datatilsynets tilsynsvejledning har som tredje koncept en årlig skriftlig status på databehandleraftalens forhold, underdatabehandlere og brud siden sidste tilsyn. I en afgørelse fra december 2022 godtog Datatilsynet en status om fem udvalgte emner: organiseringen af informationssikkerheden, adgangsstyring, logning af adgang til personoplysninger, kryptering ved transmission og brud. Endelig nævner Styrelsen for Samfundssikkerhed i sin NIS 2-vejledning, hvad en omfattet kunde kan skrive ind i aftalerne med sine leverandører.
1. Én navngiven ansvarlig. Kunden vil vide, hvem der har ansvaret for sikkerheden i jeres ydelse, også når det kun er en del af personens arbejde. Bevis: et navn, en stedfortræder og en kort beskrivelse af opgaven.
2. Adgang til kundens systemer. Hvem hos jer har adgang, hvordan logger de ind, og hvad sker der, når en medarbejder stopper? Det er her, jeres adgang bliver kundens risiko. Bevis: en liste over personer med adgang pr. kunde, flerfaktorlogin og et eksempel på en lukket konto.
3. Logning. Kan I vise, hvem der har været inde i kundens systemer eller data og hvornår? Bevis: et logudtræk for en periode og en beskrivelse af, hvor længe logs gemmes.
4. Sikker forbindelse. Hvordan er jeres fjernadgang og overførsel af data beskyttet? Bevis: en beskrivelse af værktøjerne og deres opsætning.
5. Brud og hændelser. Er I databehandler, underretter I efter databeskyttelsesforordningens artikel 33, stk. 2, den dataansvarlige uden unødig forsinkelse, når I bliver opmærksomme på et brud. Bevis: en kort procedure med kontaktoplysninger og en oversigt over brud siden sidst, også hvis den er tom.
6. Underleverandører. Artikel 28, stk. 2, kræver kundens godkendelse, før I bruger en anden databehandler. Bevis: en liste over de tjenester og firmaer, I bruger til kundens opgave, også værktøjer til support, fjernadgang og backup.
7. Ophør. Hvad sker der med kundens data, når aftalen slutter? Efter artikel 28, stk. 3, litra g, sletter eller tilbageleverer databehandleren efter kundens valg. Bevis: en beskrivelse af fremgangsmåden og et eksempel på en sletning med bekræftelse.
Hvad I kan lade ligge
Kunden spørger måske til en fuld risikovurdering, et ledelsessystem eller en certificering. For en lille leverandør kan det være uforholdsmæssigt. Svar ærligt, at I ikke har det, og vis i stedet de syv punkter. Det er derefter kunden, der vurderer, om det er nok ud fra sin egen risiko.
Kundens egen tilpasning af kravene til en lille leverandør er beskrevet i audit af den lille leverandør.
En side om året
Mange af kundernes spørgsmål kan besvares med én skriftlig status om året. Datatilsynets koncept 3 lader statussen gå til kunden direkte eller ligge på leverandørens hjemmeside. En side pr. punkt, med dato og henvisning til beviset, sparer jer for at svare forfra hver gang. Opbygningen står i den årlige status til kunderne.
Når kunden er omfattet af NIS 2
Er kunden omfattet af NIS 2-loven, har kunden selv pligt til at styre sine leverandører. Styrelsen for Samfundssikkerheds vejledning nævner, at aftaler kan indeholde fx krav om baggrundskontrol, underretning om hændelser, samarbejde ved tilsyn, revisionsret og forpligtelser ved ophør. I er ikke selv omfattet af loven, alene fordi kunden er. Kravene når jer gennem kontrakten. Den læsning er en tolkning af lovens anvendelsesområde.
Er I selv omfattet som udbyder af administrerede tjenester, gælder lovens krav direkte for jer. Om I er det, kræver en særskilt vurdering.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at én person tager ansvaret og bruger nogle dage om året på at holde de syv punkter dokumenteret.
Uden dem kan kunden ikke påvise sit tilsyn med jer, og en kunde kan blive nødt til at vælge en anden leverandør, fordi kundens egne krav ikke kan opfyldes.
Det skal I lade være med
- At svare, at I er for små til at have procedurer · kunden har stadig brug for beviset.
- At glemme supportværktøjer på listen over underleverandører · de kan behandle kundens data.
- At love en certificering, I ikke har · svar med det, I kan vise.
Det skal auditten kunne vise
- ☐ En navngiven ansvarlig og en stedfortræder.
- ☐ En liste over personer med adgang pr. kunde og et eksempel på en lukket konto.
- ☐ Et logudtræk og en beskrivelse af opbevaringstiden.
- ☐ En procedure for underretning ved brud og en oversigt over brud siden sidst.
- ☐ En liste over underleverandører og en beskrivelse af sletning ved ophør.
Kilder
- Center for Cybersikkerhed, Trusselsvurdering: Cybertruslen mod it-serviceudbydere, 1. udgave november 2020, hovedvurdering, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Trusselsvurderinger, oversigten, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0098, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28 og 33, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de syv punkter ned på én side hver, med dato og henvisning til beviset.
Læs også: Svar på kundernes spørgeskemaer · Webbureauet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
