Et spørgeskema til leverandøren om IT-sikkerhed er brugbart, når svaret kan efterprøves bagefter. Det kræver spørgsmål, der beder om en dato, en frekvens, et navngivet dokument eller et seneste resultat, og som hver peger tilbage på et krav i jeres aftale.
Skemaet er kundens redskab. Det sendes ofte til mange leverandører på én gang, og derfor afgør formuleringen, om I får noget, der kan sammenlignes og følges op, eller en stak afkrydsninger, der ligner hinanden.
Hvor skemaet hører hjemme i tilsynet
Datatilsynet nævner spørgeskemaet som én af flere måder at føre tilsyn med en databehandler på. Under det koncept, hvor den dataansvarlige selv fører tilsyn, skriver tilsynet i sin vejledning, at man fx kan sende et skriftligt spørgeskema til databehandleren og følge op på svarene. Den sidste halvdel af sætningen er den vigtige. Et skema uden opfølgning er en indsamling af udsagn.
Den statslige vejledning om leverandørforhold henvender sig også til private, der har lagt deres IT ud. Den lister skriftlig rapportering som én kontrolform blandt flere. Andre er statusmøder, tilsyn hos leverandøren og ekstern audit. Vejledningen tilføjer, at kunden bør dokumentere den gennemførte kontrol af hensyn til en eventuel håndhævelse af kontrakten.
Spørgeskemaet er altså et lavt trin på trappen. Det passer til leverandører med begrænset adgang og risiko, og som første skridt over for dem, der senere skal have mere. Valget af trin er beskrevet under tre grader af kontrol.
Et dansk udgangspunkt
sikkerdigital.dk udgiver en leverandørpakke med et spørgeskema og en vejledning på dansk og engelsk. Skemaet dækker fem områder: beskyttelse mod uønsket adgang, tilgængelighed og oppetid, hvordan leverandøren arbejder med og dokumenterer sikkerheden, persondata og ansvarsfordelingen mellem kunde og leverandør.
Ifølge vejledningen er skemaet primært tænkt til dialog med mindre IT-leverandører og holdt kort. Det er ikke en tjekliste og heller ikke et juridisk dokument som en databehandleraftale. Det kan bruges både før en ny aftale og ved løbende vurdering af en eksisterende leverandør.
Flere af skemaets spørgsmål er gode eksempler på den form, der virker. Ét spørgsmål handler om hyppigheden af backuptest og datoen for den seneste. Andre spørger, hvornår beredskabsplanen sidst blev afprøvet, og hvor lang tid der går, før en opdatering er installeret. Hvert af dem kræver et svar med en dato eller en tidsangivelse.
Leverer leverandøren software, kan skemaet også rumme spørgsmål om forordningen om cyberrobusthed (CRA), og ikke alle af dem kan besvares, før forordningens krav gælder fra 11. december 2027.
Fra ja eller nej til noget, der kan kontrolleres
Statens vejledning har et bilag om at stille bedre sikkerhedskrav. Kravene bør være specifikke, målbare, anvisende, relevante og tidsbestemte. Bilaget advarer mod formuleringer, der efterlader et stort skøn, og mod ord som regelmæssigt, periodisk og jævnligt. Bilaget handler om krav i kontrakten. At bruge samme målestok på spørgsmål i et skema er vores analogi, men den holder: et spørgsmål, der kan besvares med “regelmæssigt”, giver et svar, der ikke kan efterprøves.
Tre omskrivninger viser forskellen. De er tænkte eksempler.
- (Har I backup?) · Spørgsmål, der kan efterprøves: (Hvornår blev jeres seneste gendannelse af vores data testet, og hvad var resultatet?) · Bevis, I kan bede om bagefter: (Testrapport med dato)
- (Lukker I adgang for fratrådte?) · Spørgsmål, der kan efterprøves: (Hvor mange arbejdsdage gik der i seneste kvartal fra fratrædelse til lukket adgang?) · Bevis, I kan bede om bagefter: (Udtræk fra adgangsregistret)
- (Følger I en standard?) · Spørgsmål, der kan efterprøves: (Hvilken standard, hvilket omfang, og hvem har senest vurderet jer efter den?) · Bevis, I kan bede om bagefter: (Certifikat eller erklæring med omfang)
Den første kolonne inviterer til et ja. Den anden beder om noget, der enten findes eller ikke findes.
Lad hvert spørgsmål pege på aftalen
En almindelig fremgangsmåde er at give hvert spørgsmål en henvisning til den bestemmelse i kontrakten, sikkerhedsbilaget eller databehandleraftalen, det kontrollerer. Det har to fordele. Leverandøren kan se, hvorfor spørgsmålet stilles. Og I kan bagefter vise, hvilke dele af aftalen der er kontrolleret, og hvilke der ikke er.
Spørgsmål uden forankring i aftalen er ikke forbudt. De giver bare svar, som I ikke kan kræve rettet. En mangel i selve aftalen rettes i sikkerhedsbilaget som auditgrundlag.
Glem ikke jeres egen halvdel
sikkerdigitals skema spørger også, hvilke opgaver kunden selv står for, fx oprettelse og nedlæggelse af brugere og tildeling af rettigheder, og hvilke krav leverandøren stiller til kunden. Det er nyttigt at have med. Svaret fortæller, hvilke kontroller leverandøren regner med, at I udfører, og dem bør I kunne dokumentere selv. Samme tanke findes i erklæringer, se komplementære brugerkontroller.
Én version til alle, med plads til særkrav
Sendes skemaet til mange leverandører, er det en fordel, at kernen er ens. Så kan svarene sammenlignes år for år og leverandør for leverandør. Særlige krav fra den enkelte aftale kan stå i et tillæg. Datatilsynet skriver i sin vejledning, at tilsynet også skal dække særlige aftalte krav. Et standardiseret skema, der ikke spørger til dem, dækker dermed ikke hele aftalen.
Gem skemaet, svaret og al korrespondance. Datatilsynet gentager ved hvert tilsynskoncept, at man altid bør gemme korrespondancen med databehandleren. Det er jeres bevis for, at tilsynet er ført.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen kender aftalen godt nok til at formulere spørgsmål ud fra den, og at der er afsat tid til at læse svarene og følge op. Et kort skema, der faktisk bliver fulgt op, giver mere end et langt, der arkiveres.
Uden præcise spørgsmål får I svar, som ingen kan holde leverandøren op på. Ved en hændelse står I med et skema, der sagde ja, og ingen dokumentation for, hvad ja betød.
Det skal I lade være med
- At stille spørgsmål, der kan besvares med ja · de giver ikke noget at efterprøve.
- At bruge ord som regelmæssigt eller løbende · bed om datoer og frekvenser.
- At sende skemaet uden plan for opfølgning · Datatilsynet beskriver tilsynet som skema og opfølgning.
Det skal auditten kunne vise
- ☐ Skemaet, der blev sendt, med dato og modtager.
- ☐ Hvilken bestemmelse i aftalen hvert spørgsmål kontrollerer.
- ☐ Leverandørens svar og den korrespondance, der fulgte.
- ☐ De svar, der er fulgt op med dokumentation, og resultatet.
- ☐ Særkrav fra den enkelte aftale, som skemaet har dækket.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 4, koncept 3 og 6, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 3, afsnit 5.3 og bilag 5, læst 12. november 2026.
- sikkerdigital.dk, Få overblik over din leverandørs IT-sikkerhed (leverandørpakken), spørgeskema og vejledning, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres nuværende skema, og omskriv de tre spørgsmål, der oftest bliver besvaret med et ja.
Læs også: Standardskemaer til leverandørvurdering · Leverandøren svarer ikke
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
