En audit giver et billede af leverandøren på én dag. Mellem to audits er det leverandørens faste rapportering, der viser, om sikkerhedskravene stadig holder. Den kan bruges som bevis, hvis aftalen siger, hvilke sikkerhedsoplysninger rapporten skal indeholde, hvor ofte den kommer, og at leverandøren står inde for, at den er korrekt.
At bruge rapporteringen som auditbevis er vores vinkel og en praksis. Kilderne nedenfor viser, at kontraktmodellerne og reglerne giver grundlaget for den.
Hvad statens kontraktmodel lægger ind
K04, statens standardkontrakt for it-drift, er lavet til det offentlige, men bestemmelserne om rapportering er en konkret model for private. Fire punkter hænger sammen.
Punkt 13 kræver, at leverandøren rapporterer efter et bilag. Rapporterne kommer månedligt, senest 10 dage efter månedens udløb, medmindre andet er aftalt. De skal være egnede til, at kunden umiddelbart kan vurdere, om og i hvilket omfang ydelserne opfylder kontraktens krav og servicemål.
Efter punkt 12.1 kan kunden, eller en uvildig tredjemand udpeget af kunden, bede om at se de målepunkter og målinger, rapporten bygger på, og det gælder løbende. Formålet er at kunne vurdere, om rapporteringen af servicemålene er retvisende.
Punkt 41.1 er en garanti. Leverandøren indestår for, at alle rapporter indeholder de aftalte oplysninger, at oplysningerne er korrekte og retvisende, og at de bygger på konkrete og reelle data.
Punkt 42.3.3 giver bod, hvis rapporterne ikke leveres til tiden.
Tilsammen gør de rapporten til mere end en orientering. Den er et dokument, leverandøren hæfter for, og som kunden kan få efterprøvet.
Hvad der kan kræves rapporteret
Hvordan rapporten ser ud, hvad den indeholder, og hvor tit den kommer, bør efter statens vejledning om leverandørforhold stå i aftalen. Vejledningen nævner skriftlig rapportering, fast eller ved anmodning, som en af flere kontrolformer. Kravene til myndigheder med samfundskritiske systemer taler om systematisk driftsopfølgning mod sikkerhedskravene med konkrete målepunkter.
For finansielle virksomheder beskriver DORA’s delegerede forordning 2024/1773 de rapporter, leverandøren forelægger: periodiske rapporter, hændelsesrapporter og rapporter om IKT-sikkerhed, driftsstabilitet og test. Præstationen vurderes bl.a. med resultat- og kontrolindikatorer. Gennemførelsesforordning 2024/2690 beder de digitale tjenesteudbydere, den gælder for, om regelmæssigt at overvåge rapporter om serviceleveranceaftalerne. Uden for de to grupper er begge målestokke.
Ud fra kilderne kan en sikkerhedsdel i driftsrapporten fx indeholde disse felter. Felterne er vores forslag, eksemplerne er tænkte.
- Hændelser · Hvad det viser: Antal, alvor og status for hændelser, der berører kunden · Tænkt eksempel: (To mindre hændelser, begge lukket)
- Opdateringer · Hvad det viser: Tid fra kritisk opdatering til installation · Tænkt eksempel: (Seneste kritiske opdatering installeret efter fire dage)
- Adgange · Hvad det viser: Ændringer i leverandørens adgang til kundens systemer · Tænkt eksempel: (Én ny administratorkonto, to lukket)
- Backup · Hvad det viser: Seneste gennemførte gendannelsestest · Tænkt eksempel: (Test 3. marts, gennemført)
- Underleverandører · Hvad det viser: Ændringer i listen · Tænkt eksempel: (Ingen ændringer)
- Afvigelser · Hvad det viser: Krav, der ikke var opfyldt i perioden · Tænkt eksempel: (Logopbevaring under aftalt periode i to dage)
Fra rapport til bevis
En rapport bliver først et bevis, når nogen læser den og kan efterprøve den. Tre forhold gør forskellen.
Kontinuitet. Rapporter, der kommer hver måned i samme form, viser en udvikling. En enkelt rapport viser en dato. Over tid kan I også se, om leverandøren selv opdager og melder sine afvigelser, eller om de først kommer frem ved en audit.
Kobling til kravene. Hvert felt bør pege på et krav i aftalen eller sikkerhedsbilaget. Så kan I bagefter vise, hvilke krav der er fulgt løbende, og hvilke der kun bliver set ved audit. Hvordan krav skrives, så de kan måles, er beskrevet under sikkerhedsbilaget som auditgrundlag.
Efterprøvning. Garantien i K04’s punkt 41.1 og indsigten i punkt 12.1 betyder, at en audit kan tage en stikprøve i rapporterne og bede om de data, der ligger bag. Viser stikprøven, at rapporten ikke passer, kan det efter vores læsning være et brud på garantien.
Rapporteringen og auditten
En god driftsrapport erstatter ikke auditten, men den ændrer den. Auditten kan bruge sin tid på at efterprøve rapporterne og på de områder, rapporten ikke dækker. Omvendt kan en rapport, der viser afvigelser, være en grund til at fremskynde næste audit.
Statens vejledning anbefaler, at sikkerhed er et fast punkt på statusmøderne, og at referater fra vigtige møder godkendes af begge parter. Et referat, hvor leverandøren har bekræftet en afvigelse, er et bevis i sig selv.
Formatet er værd at aftale fra start, også selv om ingen regel kræver et bestemt. Kommer rapporten som et regneark med de samme kolonner hver måned, kan I sammenligne måned for måned uden at taste noget om. Kommer den som fri tekst, bliver sammenligningen et stykke arbejde, der let bliver udskudt. Det er praksis og ikke et krav.
Gem rapporterne samlet og i den form, de blev modtaget. Er en rapport rettet bagefter, bør begge versioner gemmes.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalen beskriver sikkerhedsdelen af rapporten, og at nogen hos jer læser den hver gang og noterer afvigelser. Det kræver også en aftalt adgang til de data, der ligger bag.
Uden løbende rapportering ved I kun, hvordan det stod til på auditdagen. Et problem, der opstod dagen efter, ser I først ved næste audit eller ved en hændelse.
Det skal I lade være med
- At modtage rapporter uden at læse dem · en ulæst rapport er ikke et bevis for jeres tilsyn.
- At acceptere felter uden kobling til aftalens krav · så kan I ikke vise, hvad der er fulgt.
- At slette rettede rapporter · begge versioner hører til sporet.
Det skal auditten kunne vise
- ☐ Aftalens krav til sikkerhedsrapportering: indhold, frekvens og frist.
- ☐ Rapporterne for perioden siden sidste audit, samlet og uændrede.
- ☐ Jeres noter om afvigelser og den opfølgning, der fulgte.
- ☐ En stikprøve, hvor rapporten er holdt op mod de underliggende data.
- ☐ Godkendte referater fra statusmøder med sikkerhed på dagsordenen.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 12.1, 13, 41.1 og 42.3.3, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1 og s. 25, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, krav 3.4, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 9, stk. 2, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilagets punkt 5.1.7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg leverandørens seneste tre driftsrapporter frem, og markér, hvilke af sikkerhedskravene i aftalen de faktisk siger noget om.
Læs også: Den årlige status til kunderne · Ét billede af alle leverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
