Mangler revisionsretten i en aftale, der allerede løber, kan den føjes til med et kort tillæg, der kun handler om kontrol. Tillægget giver jer ret til audit eller til at modtage auditrapporter, beskriver leverandørens bistand og lader resten af aftalen være, som den er.
Situationen er almindelig. Aftalen blev indgået, før sikkerhed var et fast punkt, og leverandøren fungerer. Ingen af parterne har lyst til at åbne hele kontrakten.
Hvorfor det er tid nu
Styrelsen for Samfundssikkerheds vejledning om foranstaltninger efter NIS 2-loven anbefaler, at enheden overvejer at anvende sine sikkerhedskrav til leverandører også på eksisterende leverandører, ud over ved nye indkøb. Blandt de punkter, vejledningen nævner som eksempler på aftaleindhold, er enhedens ret til revision og retten til at modtage revisionsrapporter fra leverandøren. Kapitlet gælder kun virksomheder, der er omfattet af NIS 2-loven. For andre er det en målestok.
Også statens vejledning om cybersikkerhed i leverandørforhold er skrevet, så den kan bruges ud fra en kontrakt, der allerede findes. Den anbefaler, at aftalen giver mulighed for at justere sikkerhedsniveauet løbende, fx med supplerende krav, og at kunden og leverandøren går kontrakten igennem sammen minimum årligt. Den årlige gennemgang er et naturligt tidspunkt at foreslå tillægget på.
Hvad tillægget bør indeholde
Et tillæg om kontrol kan være kort. Ud fra statens vejledning og K04, statens standardkontrakt for it-drift, kan det dække følgende. Opstillingen er vores egen og ikke en færdig klausul.
Retten. Kunden må kontrollere, selv eller via en tredjepart, at leverandøren overholder aftalens sikkerhedskrav. Alternativt eller som supplement har kunden ret til at modtage leverandørens auditrapporter eller erklæringer.
Bistanden. Leverandøren afsætter ressourcer til kontrollen, giver fysisk og logisk adgang i det nødvendige omfang og udleverer relevant dokumentation. Statens vejledning nævner netop disse elementer.
Rammerne. Varsel, hyppighed og hensynet til driften. K04 foreslår et varsel på [30] dage, et felt, som parterne udfylder, og at auditten tilrettelægges, så den generer driften mindst muligt.
Auditoren. Ekstern og uafhængig, ikke en konkurrent til leverandøren, med en fortrolighedserklæring.
Underleverandører. Retten eller leverandørens egen kontrol rækker også til de underleverandører, der leverer en del af ydelsen.
Hvad leverandøren med rimelighed vil have igen
Ingen kilde siger, hvad en leverandør kan kræve for at give en ny ret. Det følgende er praksis og vores vurdering.
En leverandør kan forventes at bede om tre ting. At auditten varsles, så den kan planlægges. At den ikke går ud over andre kunders data eller sikkerhed. Og at den ekstra tid, leverandøren bruger, bliver betalt.
K04 giver en model for det sidste. Kunden betaler i første omgang de eksterne auditorer, mens leverandørens egen hjælp afregnes efter den tid, der går med den. Afslører auditten, at kravene ikke er opfyldt, er det leverandøren, der betaler. Databeskyttelsesrådet skriver for databehandlere, at fordelingen af omkostninger er et kommercielt spørgsmål, men at klausuler, der gør retten så dyr, at den ikke bliver brugt, bør undgås.
Det er rimelige ønsker, og de kan imødekommes uden at udhule retten. Et tillæg, der giver leverandøren forudsigelighed, bliver lettere underskrevet.
Form og sporbarhed
K04 kræver, at kontraktuelle ændringer sker med fuld sporbarhed. For finansielle virksomheder kræver den delegerede DORA-forordning 2024/1773, at væsentlige ændringer i aftalen sker i et dateret og underskrevet dokument. Begge er modeller for andre. Et tillæg bør have dato, underskrifter og en klar henvisning til den aftale, det ændrer.
Statens krav til myndigheder med samfundskritiske systemer viser samtidig grænsen. Nogle krav forudsætter beføjelser, der ikke står i eksisterende kontrakter, og derfor skulle de kun gennemføres, for så vidt det var muligt. Andre krav kan kunden opfylde uden leverandørens medvirken, fx sin egen dokumentation og sine egne processer.
Et tænkt forløb
En virksomhed har en driftsaftale fra før sikkerhedskravene blev skrevet ned. Ved den årlige gennemgang lægger kunden et udkast på to sider frem. Leverandøren beder om tre ugers varsel og betaling for egen tid. Kunden accepterer begge dele og får til gengæld retten til at vælge auditor og en årlig kopi af leverandørens erklæring. Eksemplet er tænkt.
Hvis leverandøren siger nej
Et nej er et svar, der skal dokumenteres. Statens vejledning nævner leverandørens villighed til at lade sig efterse som noget, kunden bør vurdere, når leverandøren vælges. Ved en løbende aftale er det en del af risikovurderingen. I kan supplere med andre former for kontrol, som er beskrevet under ingen revisionsret i aftalen.
Er leverandøren databehandler, har I allerede en ret efter databeskyttelsesforordningens artikel 28, stk. 3, litra h. Tillægget skal da kun præcisere, hvordan den bruges.
Hvordan selve klausulen kan skrives, er beskrevet under revisionsretten i kontrakten.
Hvad det kræver, og hvad det koster at lade være
Det kræver et kort udkast, en anledning som den årlige kontraktgennemgang og en vilje til at imødekomme leverandørens rimelige ønsker. Forhandlingen kan holdes kort, når tillægget kun handler om kontrol.
Uden tillæg står I med en leverandør, I ikke kan kontrollere, til aftalen udløber. Det kan være mange år, og risikovurderingen ændrer sig undervejs.
Det skal I lade være med
- At åbne hele kontrakten for at få én ret ind · et tillæg om kontrol er nok.
- At afvise alle leverandørens ønsker · varsel og betaling for bistand er rimelige.
- At lade et nej stå udokumenteret · det hører til risikovurderingen.
Det skal auditten kunne vise
- ☐ Det underskrevne og daterede tillæg med henvisning til hovedaftalen.
- ☐ Retten til kontrol eller til at modtage auditrapporter.
- ☐ Leverandørens bistand, varsel, hyppighed og betaling for tid.
- ☐ Om retten også gælder underleverandører.
- ☐ Leverandørens svar og jeres vurdering, hvis tillægget blev afvist.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kapitel 4, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 3.1, 4.1, 4.2 og 5.5, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 11 og 16, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 145, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 4, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den aftale, hvor revisionsretten mangler, og læg et udkast til tillæg frem ved næste årlige gennemgang med leverandøren.
Læs også: Leverandørens vilkår indsnævrer auditten · Første audit af en leverandør, I har arvet
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
