En leverandør, der bliver opkøbt, skifter underleverandør eller flytter driften, er ikke længere helt den leverandør, I kontrollerede sidst. Datatilsynet nævner netop ejerskifte og hyppige skift af underleverandører som grunde til at føre tilsyn oftere eller ekstraordinært. For at kunne reagere skal I have ændringen at vide i tide, og det skal stå i aftalen.
Artiklen er skrevet til kunden. Den handler om de ændringer, der bør udløse fornyet kontrol, og om, hvad der skal kontrolleres igen. Planen for at forlade en leverandør er et andet emne.
Hvorfor ændringer kræver ny kontrol
Datatilsynets vejledning om tilsyn med databehandlere har et kapitel om hyppighed. Det peger på høj frekvens, når en databehandler ofte skifter ejer, bliver opkøbt eller fusioneret eller ændrer sin strategi gennemgribende, og når underdatabehandlere skiftes ofte. Sker sådan en ændring, kan det begrunde et ekstra tilsyn uden for den normale rytme. Begrundelsen, som også står i cloudvejledningen fra 2022, er, at der ved et ejerskifte kan “i skifteprocessen tabes fokus på beskyttelsen af visse dele af it-miljøet”.
Statens leverandørvejledning fra maj 2022 nævner i afsnittet om risikovurdering, at en leverandør fx kan flytte til et andet land, gå konkurs, skifte underleverandør eller blive opkøbt. Den anbefaler, at kunden holder øje med ændringer i leverandørens strategi, økonomi og brug af underleverandører, gennemgår kontrakten mindst én gang om året og har bestemmelser om salg, ændret ejerskab og ophør af leverandørens virksomhed.
Et eksempel med kilde er en afgørelse fra 2020, hvor en udviklingsserver fra et opkøbt selskab stod uden for den sikkerhedspolitik, der gjaldt for resten af driften. Se udviklingsserveren, ingen havde ansvar for.
Hvordan I får ændringen at vide
Ændringer, I ikke kender, kan I ikke reagere på. Kilderne har flere mekanismer.
Underdatabehandlere. Databeskyttelsesforordningens artikel 28, stk. 2, kræver jeres godkendelse. Har I givet en generel godkendelse, skal databehandleren underrette jer om planlagte tilføjelser eller udskiftninger og give jer mulighed for at gøre indsigelse. Datatilsynets skabelon lader parterne aftale et varsel. Cloudvejledningen foreslår, at I spørger, hvornår leverandøren kan dokumentere sin screening af en ny underdatabehandler, og at den frist passer med varslet. Den foreslår også en komplet liste over underdatabehandlerne og de lande, de arbejder fra, også de lande, hvorfra oplysningerne kan tilgås.
Underleverandører generelt og ejerskifte. K04, statens standardkontrakt for drift, kræver kundens forudgående samtykke til nye underleverandører, og samtykket må ikke nægtes uden rimelig grund. Punkt 53.2 kræver samtykke, før leverandøren overdrager aftalen, og leverandøren og den nye part skal på anmodning redegøre for, hvordan opfyldelsen sikres. Bestemmelserne gælder kun, hvis de er aftalt.
Finansielle kunder. DORA artikel 30, stk. 2, litra b, kræver forudgående underretning, hvis leverandøren planlægger at flytte stederne for levering eller databehandling. Delegeret forordning 2025/532 kræver i artikel 5, at en leverandør, der understøtter kritiske eller vigtige funktioner, varsler væsentlige ændringer i underentreprisen så tidligt, at kunden kan vurdere dem, og først gennemfører dem efter godkendelse eller udløbet af fristen for indsigelse.
NIS 2-omfattede kunder. Er I en digital enhed omfattet af gennemførelsesforordning 2024/2690, skal jeres overvågning af leverandørerne efter bilagets punkt 5.1.7 omfatte en analyse af risici ved ændringer hos dem.
Uden en af disse mekanismer hører I måske først om ændringen i en pressemeddelelse eller på en faktura.
Hvad der skal kontrolleres igen
Den fornyede kontrol behøver ikke at være en fuld audit. Den kan nøjes med det, ændringen påvirker. Fordelingen herunder er praksis.
- Opkøb eller fusion · Hvem der nu har ansvaret for sikkerheden, om jeres aftale og databehandleraftale stadig følges, om politikker og procedurer er ændret, om systemer og miljøer fra det opkøbte selskab er gennemgået og omfattet af samme sikkerhedspolitik
- Ny underleverandør · Om I har godkendt den, hvad den leverer, hvor den behandler data, om dens erklæring eller certifikat dækker ydelsen, og om leverandøren har kontrolleret den
- Flyttet drift · Hvor data nu ligger, om det er uden for EU, om backup også er flyttet, om leverandørens erklæring dækker den nye lokation, og om adgangen til den nye lokation er styret
- Ny ejer uden for EU · Hvem der kan få adgang til data, og om der er nye overførsler
Dækker leverandørens årlige erklæring perioden efter ændringen, kan den bruges. Er ændringen sket midt i perioden, så læs, om erklæringen beskriver den.
Hvornår en lille ændring er nok
Ikke alle ændringer kræver en ny kontrol. En ny underleverandør til en ydelse, der ikke berører jeres data, kan noteres og tages med ved næste planlagte tilsyn. Vurdér ud fra, hvor tæt ændringen er på jeres data og jeres drift, og notér vurderingen. Rytmen for de planlagte kontroller står i hvor ofte skal en leverandør auditeres?.
Hvad det kræver, og hvad det koster at lade være
Det kræver bestemmelser i aftalen om varsel ved ændringer, en person hos jer, der modtager varslerne og vurderer dem, og en mulighed for at kontrollere ekstraordinært.
Uden dem bliver jeres seneste kontrol stående som dokumentation for en leverandør, der ikke længere findes i samme form.
Det skal I lade være med
- At give en generel godkendelse af underdatabehandlere uden varsel · så hører I ikke om ændringerne.
- At lægge en erklæring til grund uden at tjekke dens periode · ændringen kan ligge efter den.
- At vente til næste planlagte audit efter et opkøb · det er i skifteprocessen, fokus kan tabes.
Det skal auditten kunne vise
- ☐ Bestemmelser i aftalen om varsel ved nye underleverandører, ejerskifte og flytning.
- ☐ En liste over modtagne varsler med jeres vurdering af hvert.
- ☐ Dokumentation for den fornyede kontrol efter væsentlige ændringer.
- ☐ En opdateret liste over underleverandører og lokationer.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 5, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.1 og 3.3.2, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.3 og 5.5, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 2, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 10 og 53.2, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 5.1.7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, læst 12. november 2026.
- Delegeret forordning (EU) 2025/532, artikel 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs jeres aftaler for bestemmelser om varsel ved ejerskifte, nye underleverandører og flytning af driften.
Læs også: Skift af leverandør · Tillæg til en løbende aftale
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
