Et udfyldt spørgeskema er leverandørens egen beskrivelse af sig selv, og det skal læses som det. Vurderingen af leverandørsvar handler om at finde de svar, der kan stå alene, og de svar, der skal følges op med dokumentation, før I lægger dem til grund.
Det er en anden opgave end at skrive skemaet. Her sidder I med en modparts selvangivelse og skal afgøre, hvor meget den bærer.
Det, myndighederne siger om opfølgning
Datatilsynet kommer i sin vejledning om tilsyn med databehandlere tæt på en regel for, hvornår et svar skal efterprøves. Fremgår særlige aftalte krav ikke af leverandørens status, skal den dataansvarlige spørge til, hvordan kravene overholdes, og eventuelt bede om dokumentation eller lave stikprøver. Vejledningen fremhæver især den situation, hvor man ikke får klare og utvetydige svar.
Det er målestokken for læsningen. Et klart svar kan stå. Et uklart svar udløser en opfølgning.
Vejledningens bud på et passende svar
sikkerdigital.dk har lavet en vejledning til sit eget leverandørskema. Den giver de svar, der kan forventes ved et passende sikkerhedsniveau, men understreger, at oversigten ikke er en facitliste. Den er tænkt som input til en dialog. Nogle af buddene kan bruges som pejlemærker, når I læser et svar:
- Leverandøren bør kunne sige, hvor serverne står, og om der bruges underleverandører.
- Logfiler fra firewall, antimalware, servere og applikationer bør som minimum opsamles, og der bør være en fast procedure for at gennemgå dem.
- Almindelige sikkerhedsopdateringer bør ifølge vejledningen installeres senest en måned efter frigivelsen, med en hurtigere proces for kritiske opdateringer.
- Leverandøren skal kunne angive, hvornår backuppen sidst er testet.
- En beredskabsplan bør som minimum have en eskalationsprocedure, et kontaktpunkt og en responstid.
Det er vejledningens forventninger. De er ikke lovkrav, og jeres egen aftale kan stille andre. Er der en aftalt frist eller frekvens, er det den, svaret skal holdes op imod.
Standarden, der nævnes, og standarden, der er efterprøvet
Mange svar henviser til en standard. Vejledningen fra sikkerdigital.dk skelner skarpt her. Der er stor forskel på, om leverandøren blot følger en anbefaling fra et rammeværk, eller om leverandøren har været igennem en egentlig certificerings- eller revisionsproces.
Et svar som “vi arbejder efter ISO 27001” siger derfor kun lidt. Det næste spørgsmål er, om der findes et certifikat eller en erklæring, hvem der har udstedt den, og om omfanget dækker den ydelse, I køber. Hvordan certifikatet slås op, står i certifikatet slået op.
Tegn på, at et svar skal følges op
Ingen kilde lister tegnene på et svagt svar. Listen nedenfor er praksis, og eksemplerne er tænkte.
Svaret har ingen dato. Spørgsmålet var, hvornår backuppen sidst blev testet, og svaret er (vi tester løbende). Spørgsmålet er ikke besvaret.
Svaret gentager spørgsmålet. Til spørgsmålet om procedure for fratrædelser svarer leverandøren (vi har en procedure for fratrædelser). Der står intet om, hvad proceduren gør.
Svaret henviser til en politik. (Det fremgår af vores informationssikkerhedspolitik.) En politik viser, hvad leverandøren har besluttet. Om det bliver udført, kræver et andet bevis.
Svaret gælder koncernen. (Koncernen er certificeret.) Den juridiske enhed, I har aftale med, eller det datacenter, jeres data ligger i, er måske ikke med.
Svaret afviger fra andre dokumenter. Skemaet siger, at alt drift sker i Danmark, mens databehandleraftalens liste over underdatabehandlere har en adresse uden for EU. Den ene af dem er forkert.
Ingen af tegnene beviser, at noget er galt. De viser, hvor I mangler bevis.
Sådan følger I op
En almindelig fremgangsmåde er at markere hvert svar med én af tre farver: står alene, skal dokumenteres, skal drøftes. Svarene i den midterste gruppe får en kort anmodning om et konkret dokument, fx testrapporten eller et udtræk med datoer. Svarene i den sidste gruppe tages på et møde.
Spørg efter det mindste dokument, der kan afgøre spørgsmålet. En hel beredskabsplan er sjældent nødvendig. Datoen og resultatet af seneste øvelse er ofte nok. Jo mere præcis anmodningen er, jo sværere er den at afvise. Hvis leverandøren alligevel ikke svarer, er næste trin beskrevet i leverandøren svarer ikke.
Skriv ned, hvad I gjorde ved hvert svar, og hvad I fik. Datatilsynet beder i vejledningen den dataansvarlige om at opbevare al brevveksling med databehandleren. Notatet om jeres vurdering hører med i den samme mappe.
Når skemaet og erklæringen er uenige
Har leverandøren også en erklæring eller et certifikat, er det nyttigt at lægge de to ved siden af hinanden. Siger skemaet, at adgange gennemgås hvert kvartal, men viser revisors test en afvigelse på netop den kontrol, er det skemaets svar, der skal efterprøves. Læsningen af selve erklæringen er beskrevet i sådan læser I erklæringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver tid til at læse svarene ét for ét, kendskab til aftalen og en person, der tør skrive tilbage og bede om mere. Svarene fra en leverandør med stor adgang fortjener mere tid end svarene fra en med lille.
Lægger I svarene til grund uden at læse dem kritisk, har I et tilsyn på papiret. Kommer der en hændelse eller et spørgsmål fra Datatilsynet, kan I vise, at I spurgte. Om svarene holdt, står der intet om.
Det skal I lade være med
- At læse vejledningens bud som en facitliste · udgiveren skriver selv, at den er input til dialog.
- At godtage en henvisning til en standard som bevis · spørg efter certifikat eller erklæring.
- At følge op uden at notere resultatet · vurderingen er en del af beviset.
Det skal auditten kunne vise
- ☐ Hvert svar markeret som accepteret, dokumenteret eller drøftet.
- ☐ Anmodningerne om dokumentation og de dokumenter, der kom.
- ☐ Afvigelser mellem skemaet og andre dokumenter, og hvordan de blev afklaret.
- ☐ Et notat om den samlede vurdering med dato og ansvarlig.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3 og 4, læst 12. november 2026.
- sikkerdigital.dk, leverandørpakken med spørgeskema og vejledning, vejledningen s. 3-6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag det seneste skema, I har fået retur, og markér de svar, der mangler en dato.
Læs også: Standardskemaer til leverandørvurdering · Leverandøren vil ikke udlevere dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
