Jeres revisionsret gælder den leverandør, I har skrevet under med. Den når kun videre til underleverandørerne, hvis aftalen fører den videre, enten ved at leverandørens revision skal omfatte dem, eller ved at leverandøren selv skal kontrollere dem og vise jer resultatet.
Det er derfor aftalens ordlyd, der afgør, hvor langt ned I kan se. Driften af jeres system kan ligge i et datacenter, hos en backupudbyder og hos en konsulent, som I aldrig har talt med. Ingen af dem har en kontrakt med jer.
Tre veje ned i kæden
Når man læser de offentlige modeller side om side, tegner der sig tre måder at føre kontrollen videre på. Inddelingen er vores egen.
Den første er, at leverandørens årlige revision også dækker underleverandørerne. Som model bruges K04, statens standardkontrakt for drift af it-systemer. Punkt 15 lader en ekstern statsautoriseret revisor gennemgå ydelserne mindst én gang om året, og bruger leverandøren underleverandører, skal den revision også omfatte dem.
Den anden er, at leverandøren selv fører kontrol med sine underleverandører og dokumenterer det over for jer. Statens vejledning om cybersikkerhed i leverandørforhold anbefaler i sit bilag om forsyningskæden, at kontrakten pålægger leverandøren netop det. Datatilsynets vejledning om tilsyn med databehandlere siger det samme for persondata: databehandleren fører tilsyn med underdatabehandleren, og den dataansvarlige sikrer sig, at det sker, fx ved at få dokumentationen tilsendt.
Den tredje er, at I selv kan gå med ind. Datatilsynets skabelon til databehandleraftale har i bilag C.8 en valgfri tekst, der lader den dataansvarlige sætte en fysisk inspektion i gang hos underdatabehandleren og selv være med. Teksten nævner som eksempel, at databehandlerens egen inspektion ikke gav nok sikkerhed.
Hvad K04 lægger ind i aftalen
Udover revisionen i punkt 15 har K04 to bestemmelser i punkt 10, der gør kæden synlig. Leverandøren bærer ansvaret for underleverandørernes arbejde på samme måde som for sit eget. Og leverandøren skal sætte kunden i direkte forbindelse med en underleverandør, når kunden ønsker det.
Underleverandørerne står i bilag 4.f, og nye kræver kundens forudgående samtykke. Samtykket kan ikke nægtes uden rimelig grund. For en auditor betyder det, at listen over underleverandører er et dokument, der kan holdes op mod virkeligheden.
K04 er skrevet til offentlige kunder. For en privat virksomhed er den en gennemarbejdet model, I kan låne bestemmelser fra, og ikke en pligt.
Databehandleraftalen og EU’s bestemmelser
Er leverandøren databehandler, følger en del af kæden af loven. Efter databeskyttelsesforordningens artikel 28, stk. 2, må databehandleren ikke bruge en anden databehandler uden jeres forudgående skriftlige godkendelse. Stk. 4 kræver, at underdatabehandleren får de samme databeskyttelsesforpligtelser gennem en kontrakt.
Datatilsynets skabelon gentager det i bestemmelse 7 og tilføjer, at I på anmodning kan få en kopi af underdatabehandleraftalen uden de kommercielle vilkår. Bilag C.8, som kun bruges, hvor det er relevant, findes i to varianter. I den ene skaffer databehandleren en uafhængig tredjeparts erklæring eller rapport fra en inspektion hos underdatabehandleren og sender den videre til jer. I den anden inspicerer databehandleren selv med en aftalt frekvens. I kan anfægte rammerne og metoden i en sådan erklæring.
EU-Kommissionens standardbestemmelser fra 2021 har tilsvarende regler i bestemmelse 7.7. Databehandleren må dog redigere kopien af underdatabehandleraftalen for at beskytte forretningshemmeligheder. Både skabelonen og Kommissionens bestemmelser fastslår, at databehandleren forbliver fuldt ansvarlig for underdatabehandlerens opfyldelse.
Retten efter artikel 28 gælder overholdelsen af databeskyttelsesreglerne og aftalen. Den giver ikke en almindelig revisionsret over for alle underleverandører til en IT-ydelse. Det er vores læsning af bestemmelsen.
Hvad afgørelsen fra 2022 viser, og hvad den ikke viser
I en afgørelse fra 7. februar 2022 tog Datatilsynet stilling til en tidligere underdatabehandler, som nægtede at give en dataansvarlig dennes kundedata tilbage. Underdatabehandleren mente, at den kun var bundet af sin aftale med databehandleren, hvor databehandleren stod som dataansvarlig.
Datatilsynet lagde vægt på de faktiske forhold og ikke på det, to databehandlere havde aftalt indbyrdes. De kunne ikke aftale sig ud af den instruks, som den oprindelige dataansvarlige havde givet. Underdatabehandleren fik alvorlig kritik, påbud om at udlevere oplysningerne og forbud mod videre behandling.
Sagen handler om at få data tilbage ved ophør. Den handler ikke om revision eller om en underdatabehandler, der afviste en kontrol. Den kan bruges som illustration af én pointe: en kæde af aftaler stopper ikke jeres instruks. Om samme tankegang gælder for en revision længere nede i kæden, siger afgørelsen intet om.
DORA som målestok
Finansielle virksomheder er underlagt DORA, der kræver, at aftaler om IKT-tjenester beskriver betingelserne for underentreprise. Artikel 29 beder den finansielle enhed vurdere, om lange eller komplekse kæder kan svække evnen til at overvåge leverandøren. Uden for finanssektoren er det en målestok og ikke et krav, men spørgsmålet er værd at stille i enhver virksomhed: kan vi stadig se, hvad der sker, når driften ligger tre led nede?
Sådan bruger I det i auditten
En almindelig fremgangsmåde er at starte med listen over underleverandører fra aftalen og spørge leverandøren, hvilken kontrol der er ført med hver af dem i det seneste år. Svaret kan være en erklæring, en inspektionsrapport, et spørgeskema eller ingenting. Den kontrol, kæden kræver i praksis, er beskrevet under underleverandører i auditten.
Mangler retten i aftalen, kan den føjes til ved et tillæg til en løbende aftale.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser aftalens bestemmelser om underleverandører og bilaget med listen, før auditten planlægges. Leverandøren skal kunne fremlægge sin egen kontrol med kæden.
Uden en ret, der rækker ned i kæden, ser I kun det øverste led. En hændelse hos en underleverandør, I ikke kendte, rammer jeres data lige så hårdt som en hændelse hos leverandøren selv.
Det skal I lade være med
- At gå ud fra, at retten over for leverandøren også gælder underleverandøren · den gør det kun, hvis aftalen siger det.
- At acceptere en liste over underleverandører uden dato · listen ændrer sig og skal kunne holdes op mod samtykkerne.
- At bruge afgørelsen fra 2022 som bevis for en revisionsret · den handler om tilbagelevering af data.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelser om underleverandører og revision, med henvisning.
- ☐ En dateret liste over underleverandører og de godkendelser, der ligger bag.
- ☐ Leverandørens dokumentation for egen kontrol med hver kritisk underleverandør.
- ☐ Kopi af underdatabehandleraftaler, hvor leverandøren er databehandler.
- ☐ Hvilke led i kæden der ikke er kontrolleret, og hvorfor.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 10 og 15, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7 og bilag C.8, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 6, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, bilag 2, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 29, læst 12. november 2026.
- Datatilsynet, afgørelse af 7. februar 2022, j.nr. 2022-431-0167, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find bilaget med underleverandører i jeres vigtigste driftsaftale, og skriv ud for hver, hvilken kontrol leverandøren har vist jer.
Læs også: Bilag C.7 og C.8 felt for felt · Er underleverandørens kontroller med i erklæringen?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
