Et standard spørgeskema til leverandørsikkerhed passer, når leverandøren allerede har udfyldt det, og når jeres egne krav kan holdes op mod det. Det dækker sjældent de særlige krav i jeres egen aftale, og dem må I derfor stadig spørge til selv.
To ordninger er offentligt beskrevet og bruges af mange købere: cloudbranchens selvangivelse i et offentligt register og bilindustriens vurderingskatalog. Et tredje, dansk skema fra sikkerdigital.dk er kortere og har ingen certificering knyttet til sig. Artiklen stiller dem op i samme felter uden at rangere dem. Oplysningerne er pr. 12. november 2026.
CSA STAR
Udgiver. Cloud Security Alliance. Programmet hedder Security, Trust, Assurance & Risk og beskrives af udgiveren som et assuranceprogram for cloud og AI.
Hvad det er. Skemaet hedder Consensus Assessments Initiative Questionnaire, forkortet CAIQ. Det beskriver, hvordan en cloudtjeneste lever op til hver kontrol i udgiverens Cloud Controls Matrix.
Niveauer. Niveau 1 er en selvevaluering, hvor leverandøren indsender sin besvarelse. Niveau 2 er en vurdering ved en tredjepart: en certificering efter ISO/IEC 27001, en attestation efter SOC 2 eller en ordning for det kinesiske marked, hver kombineret med en CAIQ. Der findes parallelle niveauer for AI-tjenester.
Hvem vurderer. På niveau 1 leverandøren selv. På niveau 2 den, der har udstedt certifikatet eller attestationen.
Gyldighed. Ikke oplyst i den læste kilde.
Hvor resultatet ses. I det offentlige STAR Registry, hvor leverandørens optagelse, niveau og indsendte dokumenter offentliggøres. Om der kræves login for at se dokumenterne, er ikke undersøgt.
TISAX
Udgiver. ENX Association. Deltagerhåndbogen er version 2.8 af 13. marts 2025, og den engelske udgave er den gældende.
Hvad det er. Kravkataloget hedder Information Security Assessment og stammer fra den tyske bilindustris forening. Udgiveren beskriver TISAX som bilindustriens standard for vurdering af informationssikkerhed. Processen begynder normalt ved, at en kunde beder leverandøren dokumentere et bestemt niveau.
Niveauer. Ifølge håndbogen er niveau 1 hovedsageligt til internt brug som egentlig selvevaluering. På niveau 2 laver auditøren en kontrol af, om selvevalueringen er plausibel. På niveau 3 sker en grundig verifikation af, at kravene er opfyldt. Gengivelserne er oversat fra engelsk.
Hvem vurderer. En auditør inden for ordningen på niveau 2 og 3.
Gyldighed. Resultatet er mærkater, som efter håndbogen som udgangspunkt gælder i tre år. Derefter skal processen gennemløbes igen.
Hvor resultatet ses. På en udvekslingsplatform, hvor leverandøren bestemmer, hvilket delingsniveau kunden får.
Det danske skema
sikkerdigital.dk har et kort spørgeskema med en vejledning til at forstå svarene. Det er skrevet til dialog med mindre IT-leverandører, dækker fem områder fra adgangsbeskyttelse til ansvarsfordeling og er ikke knyttet til en certificering eller et register. Det er et redskab, I selv sender. Brugen af det er beskrevet i sikkerhedsspørgeskema til leverandører.
Hvad niveauerne betyder for jer
Den vigtigste forskel for en køber er, hvem der har set på svarene. Et CSA-niveau 1 er leverandørens egen besvarelse, offentliggjort. Det har samme status som et skema, leverandøren har udfyldt til jer, bortset fra at det ikke er skrevet til jeres aftale. Niveau 2 bygger på en certificering eller attestation, og den skal læses for sig, fordi den har sit eget omfang og sin egen periode. Den læsning er beskrevet under erklæringer og certifikater læst som modtager. Denne sammenligning af niveauerne er vores tolkning.
For TISAX er niveau 1 efter ordningens egen beskrivelse en intern øvelse. Det er niveau 2 og 3, en køber normalt vil spørge efter. TISAX passer først og fremmest, hvor I selv er en del af bilindustriens kæde og jeres kunder efterspørger det. Uden for den branche er en TISAX-mærkat ét bevis blandt flere. Også det er en tolkning.
Når standardskemaet passer
Et standardskema passer, når tre ting er opfyldt. Leverandøren har allerede besvaret det, så I ikke beder om dobbeltarbejde. Skemaets område svarer til det, I køber. Og I har læst skemaet op mod jeres egne krav, så I ved, hvad det ikke spørger om.
Det sidste er afgørende for persondata. Ifølge Datatilsynets tilsynsvejledning skal kontrollen med en databehandler også omfatte særlige krav, der er aftalt i databehandleraftalen. Et skema, der er skrevet til hele cloudbranchen eller hele bilindustrien, kender ikke jeres aftale. De særlige krav må I spørge til i et tillæg.
En almindelig fremgangsmåde er at lave en kort oversigt med tre kolonner: jeres krav, det sted i standardskemaet, der svarer på det, og de krav, der står tilbage. Den sidste kolonne er jeres eget spørgeskema til leverandøren.
Når det ikke passer
Har leverandøren ikke besvaret et standardskema, er det sjældent en god idé at bede om et bestemt. Det kan kræve et stort arbejde hos leverandøren og give svar på spørgsmål, der ikke er relevante for jeres ydelse. Et kort skema skrevet ud fra jeres aftale giver ofte mere. Det er en vurdering, ingen kilde fastlægger.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser standardskemaet ved siden af jeres aftale og finder de krav, der ikke er dækket. Det tager kortere tid end at skrive et nyt skema, men det kan ikke springes over.
Uden den læsning ser tilsynet dækkende ud, fordi skemaet er langt. De krav, der er særlige for jeres aftale, er alligevel ikke kontrolleret.
Det skal I lade være med
- At læse en selvevaluering som en vurdering ved tredjepart · se efter niveauet.
- At regne med, at standardskemaet dækker databehandleraftalen · særlige krav spørges til særskilt.
- At kræve en bestemt ordning af en leverandør uden for den branche, den er lavet til · det giver arbejde uden at give svar.
Det skal auditten kunne vise
- ☐ Hvilket standardskema og hvilket niveau leverandørens dokumentation bygger på.
- ☐ Datoen for besvarelsen eller vurderingen.
- ☐ En oversigt over jeres krav, der er dækket, og krav, der står tilbage.
- ☐ Opfølgningen på de krav, standardskemaet ikke dækker.
Kilder
- Cloud Security Alliance, STAR, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, læst 12. november 2026.
- sikkerdigital.dk, leverandørpakken, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3 til 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg jeres største leverandører, om de allerede har besvaret et standardskema, og på hvilket niveau.
Læs også: Kan erklæringen erstatte jeres egen audit? · Certifikatet slået op
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
