Et sikkerhedsbilag kan auditeres, når hvert krav kan afgøres med ja eller nej, og når det står, hvilket bevis der viser svaret. Et krav som “leverandøren sikrer tilstrækkelig logning” kan ikke auditeres. Et krav, der siger, hvad der logges, hvor længe og hvem der kan se det, kan.
Artiklen handler om formen. Hvilke krav en kunde bør stille, er et andet spørgsmål.
Hvorfor formen afgør auditten
En auditor måler leverandøren mod aftalen. Står kravet uklart, kan auditor kun skrive, at det er uklart. Fundet handler så om kontrakten.
sikkerdigital.dk siger det kort i sin beskrivelse af audit og måling. Ord som “best practice” og “tilstrækkelig sikkerhed” giver intet at auditere imod. Grundlaget må være konkrete krav i politikker, procedurer, aftaler om serviceniveau og lignende. Beskrivelsen er skrevet til myndigheder, men pointen gælder enhver audit.
Statens vejledning “Cybersikkerhed i leverandørforhold” anbefaler, at sikkerhedskravene skrives ind i kontrakten, så de kan håndhæves på lige fod med andre krav, og at kravene ledsages af krav om kontrol og opfølgning.
SMART: statens målestok for et krav
Vejledningens bilag 5 beskriver, hvordan krav bliver brugbare. Et krav bør være:
- Specifikt, så det er klart, hvad der kræves.
- Målbart, så det kan besvares binært med ja eller nej.
- Anvisende, formuleret som “Leverandøren skal …”.
- Relevant, bygget på en risikovurdering og tilpasset leverancen. Vejledningen advarer mod at genbruge krav fra gamle kontrakter.
- Tidsbestemt, uden ord som “regelmæssigt”, “periodisk” og “jævnligt”.
Vejledningens egne eksempler på for vage krav er “Leverandøren skal foretage backup af systemet”, der er for generelt, og “tilstrækkelig logning”, der efterlader for stort et skøn.
Afsnit 2.2 tilføjer, at krav bør udtrykke den ønskede effekt frem for den præcise løsning. Detaljerede tekniske krav kan forældes, mens et krav om effekt holder, når teknikken skifter.
Fra vagt krav til afgørbart krav
Tabellen viser omskrivningen. Eksemplerne er tænkte og viser formen. De er ikke en anbefaling af netop disse krav.
- (Leverandøren tager backup) · Afgørbart krav: (Leverandøren skal tage daglig backup af kundens data og gennemføre en gendannelsestest hvert kvartal, som dokumenteres med dato og resultat) · Bevis, auditor kan bede om: (Seneste fire testrapporter)
- (Tilstrækkelig logning) · Afgørbart krav: (Leverandøren skal logge administratorers login og ændringer i rettigheder og opbevare logs i et aftalt antal måneder) · Bevis, auditor kan bede om: (Udtræk for en udvalgt uge)
- (Adgang lukkes hurtigt ved fratrædelse) · Afgørbart krav: (Leverandøren skal lukke adgang til kundens systemer senest en aftalt frist efter fratrædelse) · Bevis, auditor kan bede om: (Liste over fratrædelser og lukketidspunkter for et kvartal)
- (Leverandøren holder systemerne opdateret) · Afgørbart krav: (Leverandøren skal installere kritiske sikkerhedsopdateringer inden for en aftalt frist efter udgivelse) · Bevis, auditor kan bede om: (Opdateringslog med datoer for udvalgte opdateringer)
Den tredje kolonne er den vigtige. Når beviset står ved kravet, ved leverandøren fra start, hvad en auditor vil spørge efter, og auditten bliver kortere.
Kravmatrice og målepunkter
To offentlige modeller viser, hvordan bilaget kan gøres til et arbejdsredskab.
Statens standardkontrakt K04’s bilag 4.e lader leverandøren udfylde en kravmatrice, hvor hvert krav markeres som opfyldt helt, delvist eller ikke. Matricen er et naturligt udgangspunkt for en audit, fordi leverandøren selv har taget stilling krav for krav.
Statens katalog fra 2023 for myndigheder med samfundskritiske systemer beder om en løbende opfølgning på driften mod sikkerhedskravene, gerne med målepunkter pr. krav. Et målepunkt pr. krav gør det muligt at følge opfyldelsen mellem to audits.
Krav, der ikke kan gøres binære
Nogle krav handler om kvalitet og lader sig ikke skrive som ja eller nej, fx at leverandørens risikovurdering skal være passende. Her kan kravet gøres afgørbart ved at beskrive, hvad der skal foreligge: en risikovurdering af kundens ydelse, opdateret mindst én gang om året, godkendt af en navngiven rolle og sendt til kunden. Auditor kan så afgøre, om dokumentet findes, er opdateret og er godkendt. Indholdet kan stadig drøftes, men der er noget konkret at drøfte.
Det samme gælder krav om uddannelse, beredskab og ledelsens involvering. Spørg ved hvert krav, hvad der ville ligge på bordet, hvis det var opfyldt. Svaret er det, der skal stå i bilaget.
Kundens egne pligter hører med
Et sikkerhedsbilag beskriver typisk leverandørens forpligtelser. Men mange ydelser forudsætter, at kunden selv gør noget, fx opretter og nedlægger brugere, godkender ændringer eller holder egne klienter opdateret. Skriv de forudsætninger ind som kundens pligter. Så kan en auditor skelne mellem et fund hos leverandøren og et fund hos jer, og leverandøren kan ikke med rette henvise til uklarhed om ansvaret.
Numre, der går igen
Giv hvert krav et fast nummer. Det gør det muligt for en auditor at skrive “krav S-12 er ikke opfyldt” i stedet for at genfortælle kravet. Lad spørgeskemaer, rapportering og fund henvise til samme numre. Så hænger kontrollen sammen fra kontrakt over drift til audit. Det er praksis og kræves ikke af nogen kilde.
Hvordan en auditor bruger kravene som kriterier i en konkret audit, er et emne for sig. Konsekvensen af et uopfyldt krav er emnet i artiklen om aftalebrud.
Har bilaget allerede mange krav, så begynd med dem, der vedrører de mest kritiske dele af ydelsen, og tag resten ved næste fornyelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen med sikkerhedsviden læser hvert krav og spørger, hvordan det ville blive kontrolleret. Det er lettest, før kontrakten underskrives. Et eksisterende bilag kan omskrives ved et tillæg.
Med vage krav kan en audit ikke afgøre noget. Leverandøren kan med rette sige, at “tilstrækkelig” er opfyldt, og kunden kan ikke kræve andet.
Det skal I lade være med
- At skrive “regelmæssigt” eller “tilstrækkeligt” · auditor kan ikke afgøre det.
- At genbruge krav fra en gammel kontrakt uden at læse dem · statens vejledning advarer mod netop det.
- At skrive den tekniske løsning ind, hvor effekten er det, der tæller · løsningen forældes.
Det skal auditten kunne vise
- ☐ Et sikkerhedsbilag med nummererede krav, der kan besvares med ja eller nej.
- ☐ Det bevis, der hører til hvert krav.
- ☐ Leverandørens kravmatrice eller tilsvarende egen vurdering.
- ☐ Målepunkter, der følges mellem audits.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1, 2.2, 4.1 og bilag 5, læst 12. november 2026.
- sikkerdigital.dk, Audit og måling, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 bilag 4.e Revision og kontrol, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, krav 3.4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag fem krav fra jeres nuværende sikkerhedsbilag, og skriv ved hvert, hvilket bevis der ville vise, at det er opfyldt.
Læs også: Sikkerhedsspørgeskema til leverandører · Mellem to audits
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
