Regler, tilsynsmodeller og forsyningskæden

Flere regelsæt bestemmer, hvordan en kunde skal holde øje med sine leverandører, og de bruger hver deres ord og hver deres model. Databeskyttelsesreglerne kræver tilsyn med databehandlere, revisor spørger til den outsourcede IT, DORA styrer finanssektorens kæde, og forordningen om cyberrobusthed giver køberen oplysninger om produkter. Artiklerne her læser reglerne fra primærkilden og viser, hvordan de kan samles i én kontrol, så leverandøren ikke skal svare på det samme flere gange. Reglerne er gengivet forenklet, og teksten er ikke juridisk rådgivning.

Databehandlere og kæden under dem

• Databehandlertilsyn og sikkerhedsaudit i ét forløb: fælles besøg, delte beviser, to rapporter Ét besøg hos leverandøren og to adskilte konklusioner.
• Skal I kende hele kæden af underdatabehandlere? Databeskyttelsesrådets udtalelse fra oktober 2024 Identiteten på alle led, kontrollen efter risiko.
• Overførsel til tredjelande i databehandleraftalen: den dokumentation, I selv skal have Lokation, underdatabehandlere og varsling, som Datatilsynet lægger hos kunden.
• Datatilsynets spørgeskema om cloud brugt som jeres egen gennemgang af leverandøren Skemaets fire afsnit som målestok for hver cloudtjeneste.

Revisor og regnskabet

• Revisoren spørger til outsourcet IT: hvad en erklæring kan bruges til i årsrevisionen Leverandørens kontroller som en del af regnskabets grundlag.

Finanssektorens regler

• Kæden under DORA: de ti betingelser før underentreprise og fristen for indsigelse mod ændringer Forordning 2025/532 om leverandørens egne leverandører.
• Finanskundens informationsregister: det, kunden skal registrere om jer og jeres underleverandører Registret, der styrer kundens spørgsmål til jer.
• Leverandøren er udpeget som kritisk IKT-tredjepartsudbyder: hvad det ændrer for jeres revisionsret EU-tilsynet med udbyderen erstatter ikke kundens eget ansvar.

Produkter og statens model

• Produkter med digitale elementer: hvad køberen kan se og kræve efter CRA Oplysningerne fra fabrikanten, og datoen hvor de gælder.
• Statens vejledning om cybersikkerhed i leverandørforhold: seks faser, og hvad styringsfasen kræver Styringsfasen som skabelon for løbende kontrol.

Sådan bruger I siden

Afgør først, hvilke regelsæt der rammer jer og den enkelte leverandør. Er leverandøren databehandler, er tilsynet efter databeskyttelsesreglerne et krav, og så kan sikkerhedsauditten lægges i samme forløb. Er I en finansiel virksomhed, eller er kunden det, gælder DORA’s punkter. Fabrikantens egne pligter efter forordningen om cyberrobusthed er beskrevet på sitet om Cyber Resilience Act.

Hvad det kræver, og hvad det koster at lade være

Opgaven kræver et overblik over, hvilket regelsæt hver leverandør hører under, og en plan, der lader det samme bevis tælle flere steder. Køres hvert regelsæt for sig, får leverandøren tre anmodninger om næsten det samme materiale, og jeres egne folk bruger tiden på at samle det tre gange.

Det skal I lade være med

• At blande tilsynsrapporten og sikkerhedsrapporten · de måler mod forskellige krav.
• At bruge DORA’s ordlyd uden at sige, hvorfor · uden for finanssektoren er det en målestok.
• At skrive fremtidige regler som gældende · notér den dato, de træder i kraft.

Det skal auditten kunne vise

• ☐ Hvilket regelsæt hver leverandør er kontrolleret efter.
• ☐ Listen over underdatabehandlere og hvornår den sidst er tjekket.
• ☐ Hvilke beviser der er brugt i mere end én kontrol.
• ☐ Den bestemmelse, hvert krav bygger på.

Senest gennemgået: november 2026.

Næste skridt

• Databehandlertilsyn og sikkerhedsaudit i ét forløb
• Fund, rapport og opfølgning

Læs også: Kontraktgrundlaget for audit · Erklæringer og certifikater

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT