Et svar i en kundes sikkerhedsspørgeskema bliver en del af kundens dokumentation for, at I er en forsvarlig leverandør. Svar derfor kun ja til det, I kan vise, henvis til beviset, og giv samme svar til alle kunder, der stiller samme spørgsmål.
Artiklen er skrevet til leverandøren. Der findes ingen regel om, hvordan et spørgeskema besvares. Svarteknikken herunder er praksis, og “aldrig ja uden bevis” er en anbefaling. Reglerne bag kundens spørgsmål har derimod en kilde.
Hvorfor kunden spørger
Databeskyttelsesforordningens artikel 28, stk. 1, siger, at den dataansvarlige udelukkende benytter databehandlere, der kan stille de fornødne garantier. Stk. 3, litra h, lægger pligten til at levere den nødvendige dokumentation over på databehandleren. Kundens spørgeskema er en af de måder, påvisningen sker på.
På Datatilsynets skala for databehandlertilsyn står et skriftligt svar fra databehandleren på de laveste trin. I koncept 2 bekræfter databehandleren, helst skriftligt, at kravene stadig efterleves. I koncept 3 giver databehandleren en årlig skriftlig status. Vejledningen siger også, at kunden ved uklare svar spørger igen, beder om dokumentation eller tager stikprøver, især når svarene ikke er klare og utvetydige.
Et vagt svar fører altså til flere spørgsmål. Et klart svar med en henvisning til bevis kan afslutte sagen.
Datatilsynet har i en afgørelse fra december 2022 godtaget en metode, hvor databehandleren udfylder og underskriver en ledelseserklæring, der er tilpasset databehandleraftalen, og hvor kunden stiller uddybende spørgsmål efter behov. Tilsynet med den konkrete databehandler var endnu ikke gennemført, så sagen viser metoden og ikke et resultat.
Fem regler for det enkelte svar
Svar på det spørgsmål, der stilles. Et spørgsmål om kryptering af data i hvile besvares ikke med en beskrivelse af krypteret forbindelse til jeres portal. Skriv ja, nej, delvist eller ikke relevant først, og forklar bagefter.
Henvis til beviset. Skriv, hvilket dokument, hvilken rapport eller hvilken log der viser det, og hvilken dato den har. Kunden behøver ikke at få dokumentet med det samme, men skal vide, at det findes.
Afgræns svaret. Skriv, hvilke ydelser, systemer og lokationer svaret gælder for. Et ja, der kun gælder produktionsmiljøet, siger det.
Brug “delvist” ærligt. Gælder noget for de fleste systemer, men ikke alle, er svaret delvist. Forklar, hvad der mangler, og om der er en plan.
Begrund “ikke relevant”. Et spørgsmål kan handle om noget, I ikke leverer. Skriv hvorfor, så kunden ikke tror, I har sprunget det over.
Et tænkt eksempel kan se sådan ud:
- (Krypteres kundedata i hvile?) · Svar: (Delvist) · Afgrænsning: (Databaser og backup i produktion; ikke testmiljøet, som ikke indeholder kundedata) · Bevis: (Krypteringspolitik af 1. marts, konfigurationsudtræk af 3. september)
Aldrig ja uden bevis
Et ja, der ikke kan dokumenteres, er det svar, der koster mest senere. Kommer kunden på audit, kan auditoren vælge netop de svar ud, der lyder bedst, og bede om beviset. Kan det ikke vises, bliver det et fund. Har kunden brugt svaret over for sin egen tilsynsmyndighed, står kunden med en dokumentation, der ikke holder.
Er I i tvivl, så svar delvist eller nej, og skriv, hvad I gør. Det giver et ærligt billede, som kunden kan arbejde med.
Samme svar til alle
Flere kunder kan bruge samme auditor, og ved et fælles tilsyn ser én part alle svarene. Et svar, der skifter fra kunde til kunde, er desuden et tegn på, at ingen hos jer ved, hvad der er rigtigt.
Byg derfor et svarbibliotek. Hvert standardsvar har en ejer, en dato og en henvisning til beviset. Når praksis ændres, rettes svaret ét sted. Nye spørgsmål besvares af ejeren og lægges i biblioteket.
Hold også styr på, hvad hver kunde har fået. Gem det udfyldte skema med dato og navnet på den, der godkendte det. Når kunden senere varsler audit, er det de svar, I bliver målt på. Se kunden har varslet audit.
Hvem der godkender
Et spørgeskema kan indeholde løfter, som kunden kan lægge til grund i sin kontrakt. Lad derfor en person med ansvar for sikkerheden godkende svarene, og lad en med ansvar for kontrakten se de svar, der går ud over aftalen. Nogle kunder beder om, at svaret underskrives af ledelsen. Det er så ledelsen, der står inde for det.
Hvad det kræver, og hvad det koster at lade være
Det kræver et svarbibliotek med ejere, en fast godkendelse og et arkiv over afgivne svar. Arbejdet er størst første gang, og bagefter går det hurtigere for hver kunde.
Uden faste svar bruger I tid på at skrive det samme forfra, og I risikerer, at to kunder får to forskellige versioner af jeres sikkerhed. Den forskel kommer frem ved første audit.
Det skal I lade være med
- At svare ja for at komme videre · auditoren beder om beviset senere.
- At skrive nye svar til hver kunde · forskellige svar på samme spørgsmål undergraver alle svarene.
- At sende svar uden dato og godkender · I kan ikke senere vise, hvad der blev lovet og af hvem.
Det skal auditten kunne vise
- ☐ Et svarbibliotek med ejer, dato og henvisning til bevis for hvert standardsvar.
- ☐ Bevis for hvert ja, der er givet til kunden.
- ☐ Det udfyldte skema, som kunden fik, med dato og godkender.
- ☐ En plan for de punkter, der er besvaret med delvist eller nej.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 1 og 3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 2 og 3, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0097, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml de svar, I har givet de seneste kunder, og find de spørgsmål, der er besvaret forskelligt.
Læs også: Sådan læser kunden et udfyldt spørgeskema · Kundeaudits som fast proces
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
