I overgangen mellem to leverandører kan begge have adgang til jeres systemer, data ligger flere steder, og ansvaret skifter hænder på en dato, ikke alle kender. Kontrollen i den periode handler om tre ting: hvem har ansvaret hvornår, hvem har adgang, og hvor ligger data og backup.
Artiklen er skrevet til kunden. Den handler kun om selve overgangen. Valget af ny leverandør og den langsigtede plan for at kunne forlade en leverandør er andre emner.
Hvad statens vejledning siger om overgangen
Center for Cybersikkerhed og Digitaliseringsstyrelsen har i vejledningen “Cybersikkerhed i leverandørforhold” fra maj 2022 et kapitel om afslutning af et leverandørforhold. Vejledningen anbefaler, at ophørsbestemmelserne som minimum omfatter:
- Leverandørens forpligtelser og servicemål i ophørsperioden.
- Kundens sikkerhedskrav, mens opgaven overdrages.
- En komplet liste over kundens aktiver, også backup.
- Procedurer for tilbagelevering, overdragelse eller bortskaffelse.
- Fortsat tavshedspligt.
- Pligt til at bidrage til en smidig overgang med dokumentation, viden og samarbejde.
Vejledningen anbefaler også en plan for, hvordan sikkerheden holdes under afviklingen, og at kunden kan udpege en ansvarlig rolle. Når aftalen ophører, bør kunden i tide lukke for al leverandørens adgang, både den fysiske og den logiske. Aftalen bør også beskrive, i hvilket format data overdrages, at de er komplette, og hvordan overdragelsen og bortskaffelsen dokumenteres, verificeres og sikres.
Vejledningen ser også fremad. Kravene til den nye leverandør bør dække sikkerheden i overgangsperioden fra en eventuel tidligere leverandør. Overgangen har altså to kontrakter, der begge bør sige noget om den.
Vejledningen bruger “bør”. Punkterne er anbefalinger.
Reglerne om data
Når den gamle leverandør er databehandler, er I som dataansvarlige dem, der vælger, om personoplysningerne slettes eller leveres tilbage ved ophør. Valget følger af artikel 28, stk. 3, litra g, i databeskyttelsesforordningen. Datatilsynets skabelon til databehandleraftaler har det i bestemmelse 11, hvor sletning sker med en bekræftelse.
At det ikke altid går glat, viser en afgørelse fra 7. februar 2022. Her nægtede en underdatabehandler, der ikke længere havde opgaven, at levere en dataansvarligs kundedata tilbage, fordi den kun havde en aftale med et mellemled. Datatilsynet udtalte alvorlig kritik og gav påbud om udlevering. Sagen er beskrevet nærmere i I er underleverandør.
Er I en finansiel virksomhed, skal jeres aftaler om kritiske eller vigtige funktioner efter DORA artikel 30, stk. 3, litra f, have en exitstrategi med en obligatorisk overgangsperiode.
Kontrolpunkterne
Kontrolpunkterne herunder er afledt af vejledningens kapitel om afslutning. Formuleringerne om dobbelte adgange og data to steder er ikke vejledningens egne.
Ansvar på en tidslinje. Skriv ned, hvem der har ansvaret for drift, backup, overvågning og hændelser på hver dag i overgangen. Den dato, hvor ansvaret skifter, skal begge leverandører og jeres egen organisation kende. En særlig risiko er en periode, hvor begge tror, den anden har ansvaret.
Dobbelte adgange. I overgangen kan både den gamle og den nye leverandør have adgang. Lav en liste over alle adgange for begge: personlige konti, administratorkonti, servicekonti, fjernadgang, nøgler til programmeringsgrænseflader og fysiske adgangskort. Notér for hver, hvornår den lukkes eller oprettes.
Den gamle leverandørs adgang lukkes. Kontrollér efter skiftedatoen, at alle adgange på listen er lukket. Det gælder også konti, der er oprettet i nødsituationer og aldrig er blevet registreret. Kontrollen kan være et udtræk af aktive konti, holdt op mod listen.
Den nye leverandørs adgang tildeles efter behov. Under en migrering kan den nye leverandør få bred adgang for at komme hurtigt i gang. Notér, hvilke adgange der er midlertidige, og hvornår de bliver indskrænket.
Data to steder. I en periode ligger data både hos den gamle og den nye. Få en oversigt over, hvor alle kopier ligger, også backup, test- og migreringsmiljøer.
Fuldstændig overførsel. Kontrollér, at de overførte data er komplette og læsbare, før den gamle leverandør sletter. Brug aktivlisten fra ophørsbestemmelserne som tjekliste.
Verificeret sletning. Bed om en skriftlig bekræftelse på sletningen hos den gamle leverandør, med angivelse af hvad der er slettet, hvordan og hvornår. Backup og logs hører med. Er der aftalt, at logs gemmes i en periode efter ophør, skal det stå, hvilke og hvor længe.
Hændelser i overgangen. Aftal, hvem der håndterer og underretter, hvis der sker en sikkerhedshændelse i overgangsperioden. Det gælder også hændelser, der først opdages efter skiftet, men skete før.
Hvornår kontrollen sker
Kontrollen har tre tidspunkter. Før skiftet gennemgås ophørsbestemmelserne og den nye kontrakts krav til overgangen. På skiftedatoen kontrolleres ansvar og adgange. Efter skiftet, når data er overført, kontrolleres sletning og lukning. Et samlet tjek nogle uger efter skiftet fanger det, der blev glemt.
Kontrolpunkterne til selve ophøret er uddybet i audit ved kontraktophør.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig hos jer, adgang til begge leverandører i overgangen, og at ophørsbestemmelserne giver jer ret til de bekræftelser og oplysninger, I skal bruge.
Uden kontrol kan den gamle leverandør beholde adgang og data, efter at aftalen er slut, og der kan opstå en periode, hvor ingen har ansvaret for backup eller overvågning.
Det skal I lade være med
- At antage, at den gamle leverandørs adgang lukkes af sig selv · den skal kontrolleres.
- At lade den gamle leverandør slette, før overførslen er kontrolleret · så er der intet at gå tilbage til.
- At glemme backup og testmiljøer · de indeholder også jeres data.
Det skal auditten kunne vise
- ☐ En tidslinje for ansvaret i overgangsperioden.
- ☐ En liste over alle adgange for begge leverandører med dato for lukning og oprettelse.
- ☐ Et udtræk efter skiftet, der viser, at den gamle leverandørs adgange er lukket.
- ☐ En kontrol af, at data er overført komplet.
- ☐ En skriftlig bekræftelse på sletning hos den gamle leverandør, også af backup.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 2.1 og kap. 6.1, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra g, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 11, læst 12. november 2026.
- Datatilsynet, afgørelse af 7. februar 2022, j.nr. 2022-431-0167, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 8, og artikel 30, stk. 3, litra f, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over alle adgange for den gamle og den nye leverandør, før skiftedatoen er fastlagt.
Læs også: Hvornår er fundene alvorlige nok til at skifte leverandør? · Første audit af en leverandør, I har arvet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
