En revisionsret i en IT-kontrakt kan bruges, når en auditor kan læse den og vide, hvornår, hvor, hvor ofte og hos hvem kontrollen må ske, hvem der må udføre den, og hvem der betaler. Mangler et af svarene, bliver det første møde med leverandøren en forhandling om adgang.
Artiklen gennemgår elementerne med eksempler fra offentlige modeller og EU-regler. Formuleringerne er ikke juridisk rådgivning, og vores råd om, hvad klausulen bør sige, er tolkning.
Hvorfor retten hører hjemme i aftalen
Efter vores læsning af reglerne findes der uden for databeskyttelsen ingen almindelig lovbestemt ret til at auditere en IT-leverandør. Kunden har den adgang, aftalen giver.
Ifølge statens vejledning om leverandørforhold bør aftalen sige, at kunden må kontrollere selv eller gennem andre, at leverandøren hjælper med adgang til steder, systemer og dokumenter, og at leverandøren sætter folk af til det. Kontrolretten bør ifølge vejledningen omfatte alle forhold om kontraktens opfyldelse, også hos underleverandører.
Gennemførelsesforordning 2024/2690, der bl.a. gælder cloud og hosting, lister retten til audit eller til at få auditrapporter blandt de punkter, deres leverandørkontrakter bør rumme, hvor det er relevant. Styrelsen for Samfundssikkerhed nævner det samme som eksempel for NIS 2-omfattede virksomheder. For alle andre er det en målestok.
Er leverandøren databehandler, skal aftalen efter artikel 28, stk. 3, litra h, åbne for revision og inspektion ved kunden selv eller en revisor, kunden udpeger.
Elementerne, en auditor har brug for
Varsel. Statens standardkontrakt K04 foreslår [30] dages varsel, et felt kunden kan ændre. EU’s standardbestemmelser for databehandlere taler om et rimeligt varsel, hvor det er relevant. Den ældre K03 har 10 arbejdsdage som udgangspunkt. Et tal i dage er lettere at bruge end “rimeligt”.
Uden varsel. Både K04 og statens katalog for samfundskritiske systemer lader kunden komme ind uden varsel ved en velbegrundet mistanke om, at aftalen brydes. Uden en sådan regel er der ingen adgang med kort varsel, heller ikke efter en hændelse.
Hyppighed. EU’s standardbestemmelser nævner rimelige mellemrum eller tegn på manglende overholdelse. K03 sætter et loft på fire gange om året. DORA, som kun gælder finansielle enheder, kræver hyppigheden fastsat på forhånd ud fra risiko. Et loft er rimeligt for leverandøren, men det bør ikke gælde audits efter underbygget mistanke.
Omfang og adgang. I K04 får auditøren adgang til alle systemets data i det omfang, auditten kræver. DORA’s krav til aftaler om kritiske eller vigtige funktioner nævner adgang, inspektion, revision og ret til at tage kopier af dokumentation på stedet. Skriv, om retten omfatter lokaler, systemer, dokumenter, personale og logs.
Auditorens person. K04 stiller krav om en ekstern, uvildig og anerkendt auditor, som ikke konkurrerer med leverandøren. Leverandøren må ikke modsætte sig uden saglig grund. For databehandlere skriver Databeskyttelsesrådet (EDPB), at den endelige beslutning om auditor ligger hos kunden.
Fortrolighed og sikkerhedsforskrifter. K04 giver leverandøren ret til en fortrolighedserklæring fra auditøren og til, at auditøren følger husets sikkerhedsregler. Det er rimeligt og bør stå i klausulen, så det ikke bliver en grund til udsættelse.
Underleverandører. K04 lader den årlige revision omfatte underleverandører. Statens vejledning anbefaler, at kontrolretten også gælder hos dem. Skriv, om kunden selv kan komme ind hos underleverandøren, eller om leverandøren skal indhente dokumentation.
Omkostninger. K04 lader kunden betale først og leverandøren betale, hvis auditten viser mangler. Andre modeller for udgifterne findes i artiklen om betaling.
Gene for driften. Efter K04 planlægges auditten, så driften forstyrres mindst muligt. Det er en rimelig modydelse til leverandøren.
En tjekliste til klausulen
Tabellen viser, hvad en auditor vil lede efter. Den er vores sammenfatning.
- Varsel · Hvor mange dage, og hvordan varsles?
- Uden varsel · Hvornår, og hvad kræves for at bruge det?
- Hyppighed · Er der et loft, og gælder det også ved mistanke?
- Omfang · Ydelser, lokaler, systemer, dokumenter, personale, logs?
- Auditor · Kundens valg, krav til uafhængighed, leverandørens indsigelse?
- Fortrolighed · Hvilken erklæring, og hvilke forskrifter skal følges?
- Underleverandører · Direkte adgang eller dokumentation via leverandøren?
- Omkostninger · Hvem betaler, og hvornår skifter det?
- Opfølgning · Hvad sker med fund, og inden for hvilken frist?
Den sidste række er ofte glemt. Fund uden en aftalt opfølgning er svære at kræve rettet, se når auditten finder brud på aftalen.
Hvad leverandøren typisk beder om
Leverandøren har legitime hensyn: andre kunders data, egne forretningshemmeligheder, driftens stabilitet. Et loft over antallet af audits, krav om fortrolighed og et varsel er normale modkrav. Det er rimeligt at give dem, så længe retten stadig kan bruges. Databeskyttelsesrådet advarer for databehandlere mod omkostningsklausuler, der er så tunge, at retten aldrig bliver brugt.
Skriv modkravene ind i samme klausul som retten, så hele aftalen om audit står ét sted. Det gør den lettere at finde, når en audit skal varsles.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der forhandler aftalen, har tjeklisten ved hånden, og at den sikkerhedsansvarlige læser klausulen, før den underskrives. Retten er lettest at få ind ved første kontrakt.
Med en uklar klausul bruger I første audit på at forhandle adgangen. Med ingen klausul har I kun det, leverandøren frivilligt giver, se ingen revisionsret i aftalen.
Det skal I lade være med
- At nøjes med “kunden har ret til at revidere” · uden varsel, omfang og auditor kan retten ikke bruges.
- At acceptere et loft, der også gælder ved mistanke · det lukker for kontrol, når der er mest brug for den.
- At glemme underleverandørerne · driften ligger ofte et led længere nede.
Det skal auditten kunne vise
- ☐ Klausulen med varsel, omfang, hyppighed og auditorens person.
- ☐ Bestemmelsen om audit uden varsel og dens betingelse.
- ☐ Rækkevidden over for underleverandører.
- ☐ Fordelingen af omkostninger og aftalt opfølgning på fund.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4.1 og bilag 2, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, afsnit 4.1, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03 juridisk vejledning, punkt 18.3, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144 og 145, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 6, og artikel 30, stk. 3, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilagets punkt 5.1.4, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg tjeklisten ved siden af revisionsklausulen i jeres vigtigste aftale, og markér de rækker, den ikke besvarer.
Læs også: Sikkerhedsbilaget som auditgrundlag · Revisionsret over for underleverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
