Ordliste

Her står de ord, der dukker op, når en kunde kontrollerer en IT-leverandør eller en databehandler, og når leverandøren tager imod kontrollen. Hver forklaring er kort og forenklet. Kommer et ord fra en forordning, en standard eller en standardkontrakt, er det den kilde, forklaringen hviler på. Et link fører til artiklen, når sitet har skrevet om ordet. Bruger jeres egen aftale et ord på en bestemt måde, er det aftalens betydning, der gælder.

Kontrollen

• Leverandøraudit · en planlagt undersøgelse med bevis af, at leverandøren holder sine forpligtelser efter aftalen. Læs mere.
• Leverandørvurdering · en lettere kontrol ud fra dokumenter og spørgeskema, ofte før aftalen eller for leverandører med lav risiko.
• Tilsyn · den dataansvarliges løbende kontrol med en databehandler. Formen kan være en erklæring, en skriftlig status, et spørgeskema eller en inspektion.
• Inspektion · kontrol på stedet hos leverandøren, som databehandleraftalen kan give ret til.
• Fælles audit · en kontrol, som flere kunder hos samme leverandør gennemfører eller bestiller sammen. Læs mere.
• Forhåndsaudit · en gennemgang, som leverandøren af egen drift får lavet af en uvildig part forud for kundernes kontrol. Læs mere.
• Uvildig auditor · en auditor uden binding til den leverandør, der kontrolleres. Læs mere.

Aftalen

• Revisionsret · kundens ret efter aftalen til at lade leverandøren kontrollere, med varsel, omfang, hyppighed og fordeling af omkostninger. Læs mere.
• Sikkerhedsbilag · det bilag til aftalen, hvor sikkerhedskravene står. Kan auditeres, når hvert krav kan afgøres. Læs mere.
• Databehandleraftale · aftalen mellem den dataansvarlige og databehandleren efter databeskyttelsesforordningens artikel 28.
• Bilag C.7 og C.8 · de punkter i Datatilsynets skabelon til databehandleraftale, der fastlægger tilsynet med databehandleren og med underdatabehandlerne. Læs mere.
• Standardbestemmelser · EU-Kommissionens bestemmelser fra 2021 til brug mellem dataansvarlige og databehandlere, med revisionsretten i bestemmelse 7.6. Læs mere.
• K04 · statens standardkontrakt til IT-drift med en årlig revisorerklæring i punkt 15 og kundens audit i punkt 16. Læs mere.
• K02 og K03 · statens standardkontrakter til udvikling, hvor auditbestemmelsen handler om indsigt i projektet. Læs mere.
• DORA · EU-forordning 2022/2554 om digital operationel modstandsdygtighed i finanssektoren, med krav til aftaler om IKT-tjenester. Læs mere.
• Misligholdelse · når en part ikke opfylder aftalen. Aftalens regler afgør, om det giver krav på afhjælpning, bod eller ophævelse. Læs mere.
• Sletteattest · leverandørens skriftlige bekræftelse af, at data er slettet eller leveret tilbage ved ophør. Læs mere.

Kæden

• Dataansvarlig · den, der bestemmer, hvorfor og hvordan personoplysninger behandles. Som regel kunden.
• Databehandler · den, der behandler personoplysninger på den dataansvarliges vegne, fx en driftsleverandør eller en SaaS-tjeneste.
• Underdatabehandler · en databehandler, som databehandleren selv bruger til en del af behandlingen. Læs mere.
• Underleverandør · en virksomhed, leverandøren bruger til en del af leverancen, uanset om der indgår personoplysninger.
• Underentreprise · DORA’s ord for, at leverandøren lader en anden levere en del af en IKT-tjeneste. Læs mere.
• Informationsregister · den finansielle virksomheds register over alle aftaler om IKT-tjenester. Læs mere.
• Koncentration · når et enkelt led, fx et datacenter, bærer ydelser fra flere af jeres leverandører. Læs mere.
• Lejeradskillelse · adskillelsen mellem kunderne i et delt system. Læs mere.

Erklæringer og certifikater

• Erklæring · en revisors konklusion om leverandørens kontroller efter en bestemt standard. Afgives af en revisor.
• ISAE 3402 · revisionsstandarden for erklæringer om en serviceleverandørs kontroller med betydning for kundens regnskab. Læs mere.
• ISAE 3000 · standarden for andre erklæringer med sikkerhed, fx om informationssikkerhed eller databeskyttelse. Læs mere.
• Type 1 og type 2 · type 1 beskriver kontrollerne på en dato, mens type 2 også prøver, at de har fungeret gennem en periode. Læs mere.
• Modtager · den kunde, der læser og bruger leverandørens erklæring som en del af sin egen kontrol.
• Komplementære kontroller · de kontroller, erklæringen forudsætter, at kunden selv udfører. Læs mere.
• Afvigelse · et tilfælde, hvor revisors test viste, at en kontrol ikke virkede som beskrevet. Står i testskemaet.
• Carve-out · en erklæring, hvor underleverandørens kontroller er holdt ude af revisors arbejde. Det modsatte kaldes inclusive. Læs mere.
• SOC 2 · en amerikansk revisorrapport om kontroller inden for op til fem kategorier. Læs mere.
• C5 · en revisorerklæring om navngivne cloudtjenester målt mod det tyske BSI’s kriteriekatalog. Læs mere.
• ISO 27001-certifikat · et bevis fra et certificeringsorgan for, at et ledelsessystem for informationssikkerhed lever op til standarden inden for et bestemt område. Læs mere.
• Gyldighedsområde · den del af virksomheden, et certifikat dækker. Skal omfatte den ydelse, I køber.
• Akkreditering · en godkendelse af certificeringsorganet til at udstede certifikater under en ordning.

Forberedelse, fund og opfølgning

• Afgrænsning · beskrivelsen af de ydelser, systemer og lokationer, auditten omfatter. Læs mere.
• Auditkriterier · den målestok, leverandøren holdes op imod, først og fremmest aftalen. Læs mere.
• Auditplan · dokumentet til leverandøren om emner, deltagere, adgange og tider. Læs mere.
• Dokumentanmodning · listen over dokumenter og udtræk, leverandøren skal sende før auditten. Læs mere.
• Fjernaudit · den del af auditten, der foregår på afstand med dokumenter, video og skærmdeling. Læs mere.
• Fund · en afvigelse fra kriterierne, underbygget med bevis og knyttet til en bestemmelse i aftalen.
• Høring · leverandørens gennemgang af rapportudkastet med mulighed for at rette faktuelle fejl. Læs mere.
• Handlingsplan · leverandørens plan for at rette fundene, med ejer, frist og bevis. Læs mere.
• Lukkebevis · det aftalte bevis for, at et fund er rettet.
• Risikoaccept · ledelsens dokumenterede beslutning om at leve med et fund, kun leverandøren kan fjerne. Læs mere.

Senest gennemgået: november 2026.

Næste skridt

• Leverandøraudit, leverandørvurdering og tilsyn
• Spørgsmål om leverandøraudit

Læs også: Erklæringer og certifikater · Kontraktgrundlaget for audit

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT