Når brugte computere, servere og diske hentes til genbrug eller destruktion, er attesten fra leverandøren ofte det eneste bevis, I får. En audit af den leverandør handler derfor om sporbarhed: kan hvert medie følges fra jeres lokaler til en attest med serienummer, metode og underskrift?
Leverandørtypen bliver sjældent auditeret, selv om den håndterer alt, hvad der lå på diskene. Kontrolpunkterne herunder er praksis afledt af de kilder, der er nævnt. De er ikke en udtømmende liste.
Leverandøren er som regel databehandler
Indeholder diskene personoplysninger, behandler leverandøren dem på jeres vegne, når den sletter eller destruerer. Det gør leverandøren til databehandler, og der skal være en databehandleraftale. Den læsning er vores tolkning af artikel 28 i databeskyttelsesforordningen, men den passer på de fleste aftaler om sletning.
Artikel 28, stk. 3, litra g, siger, at databehandleren efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysninger, når tjenesterne ophører, og sletter eksisterende kopier. For en slettevirksomhed er det selve ydelsen. Aftalen bør derfor sige præcist, hvilken metode der bruges, og hvilket bevis I får.
Hvad aftalen bør beskrive
Statens vejledning om leverandørforhold, udgivet af Center for Cybersikkerhed og Digitaliseringsstyrelsen, lægger op til, at aftalen fastlægger, hvordan leverandøren afleverer eller skaffer sig af med kundens udstyr og data. Procedurerne bør tage stilling til format, fuldstændighed, dokumentation, verificering og sikkerhed, og der bør findes en komplet liste over de aktiver, der skal leveres tilbage, overdrages eller bortskaffes, herunder backup.
For digitale enheder omfattet af forordning 2024/2690 skal politikken for håndtering af aktiver dække hele livscyklussen, herunder transport og bortskaffelse, og rumme regler om uigenkaldelig sletning og destruktion (bilag, punkt 12.2.2). Andre virksomheder kan bruge punktet som målestok.
Sporbarheden fra afhentning til attest
Auditten følger mediet gennem fire led.
Afhentning. Findes der en liste over de enheder, der blev hentet, med serienumre, og er den underskrevet af både jer og chaufføren? Uden en liste ved ingen bagefter, om alt nåede frem.
Transport og opbevaring undervejs. Hvordan er udstyret sikret under transporten, og hvor står det, før det bliver behandlet? Spørg efter adgangskontrollen til lageret og efter, hvor længe udstyr typisk venter.
Sletning eller destruktion. Hvilken metode bruges for hver medietype, og hvem afgør, om et medie slettes til genbrug eller destrueres?
Attesten. Kommer der en attest for hvert medie, og kan den kobles til listen fra afhentningen?
Hvad attesten bør indeholde
Den amerikanske vejledning NIST SP 800-88, revision 2 fra september 2025, er god praksis på området. Den anbefaler, at der efter sletning udfyldes et certificate of sanitization for hvert medie. Det bør mindst angive:
- producent, model og serienummer, og eventuelt jeres eget aktivnummer
- medietype og kilde
- slettemetode (clear, purge eller destroy) og den anvendte teknik
- værktøj med version
- verifikationsmetode
- navn, titel, dato, sted og underskrift for den, der verificerer
Ved destruktion verificeres resultatet ifølge vejledningen ved at inspicere resterne.
Stikprøven sigter på sporbarheden
En stikprøve er den naturlige kontrol, men den skal rettes mod det rigtige. NIST skriver, at omfattende stikprøver af et medies indhold efter clear eller purge ikke er nødvendige, medmindre organisationens egen politik kræver det.
Stikprøven i auditten sigter derfor på sporbarheden. Vælg nogle serienumre fra afhentningslisten, og bed om attesten for hver. Gå den anden vej også: vælg nogle attester, og find enheden på listen. Passer begge retninger, hænger kæden sammen. Mangler et serienummer i en af retningerne, er det et fund, der skal forklares.
Når udstyret skal genbruges
Skal udstyret sælges videre, er sletningen og verifikationen afgørende, fordi mediet forlader leverandørens kontrol. Spørg, hvordan leverandøren sikrer, at et medie, der fejler sletningen, bliver destrueret i stedet for at gå videre. Bed om procedurens ordlyd og om et eksempel på en sådan sag.
Det, der ikke ligner en disk
Udstyr med lagring er mere end computere og servere. Printere og multifunktionsmaskiner kan have en disk, netværksudstyr gemmer opsætning og nøgler, og backupbånd og eksterne diske ligger ofte i et skab, ingen har gennemgået. Vejledningen fra Center for Cybersikkerhed nævner netop backup i listen over aktiver, der skal håndteres ved ophør.
Bed leverandøren om at beskrive, hvordan den håndterer de medietyper, og kontrollér, at jeres egen liste over udstyr, der afleveres, også omfatter dem. Returneres leaset udstyr til et leasingselskab, gælder samme spørgsmål: hvem sletter, med hvilken metode, og hvem udsteder attesten?
Hvad det kræver, og hvad det koster at lade være
Det kræver en databehandleraftale, der beskriver metode og bevis, en liste over udstyret ved afhentning og en årlig gennemgang af leverandørens proces med en stikprøve i begge retninger.
Uden sporbarhed kan I ikke vise, at en bestemt disk er slettet. Bliver data fra et kasseret medie fundet senere, er det jeres oplysninger, og det er jer, der skal forklare, hvor kæden brød.
Det skal I lade være med
- At aflevere udstyr uden en liste med serienumre · så kan attesterne ikke kontrolleres.
- At tage imod en samlet attest for en hel afhentning · beviset bør gælde det enkelte medie.
- At kræve genlæsning af alle slettede diske · kontrollen af sporbarheden giver mere for mindre.
Det skal auditten kunne vise
- ☐ En databehandleraftale, der angiver slettemetode og attestens indhold.
- ☐ En afhentningsliste med serienumre, underskrevet af begge parter.
- ☐ En beskrivelse af transport og opbevaring før behandling.
- ☐ En attest pr. medie, der kan kobles til afhentningslisten.
- ☐ Resultatet af en stikprøve i begge retninger mellem liste og attester.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra g, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 6.1, læst 12. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilag punkt 12.2.2, læst 12. november 2026.
- NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization, september 2025, afsnit 4.5.1, 4.6 og bilag C, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den seneste afhentning frem, og prøv, om hvert serienummer på listen har en attest.
Læs også: Leverandører uden IT-leverance, men med adgang · Bilag C.7 og C.8 i databehandleraftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
