Webbureauet står sjældent på leverandørlisten, når virksomheden gennemgår sine IT-leverandører. Alligevel har bureauet ofte administratoradgang til hjemmesiden, læser henvendelserne fra kontaktformularen og kan ændre domænets opsætning. En kort kontrol af netop de adgange giver mere end et langt spørgeskema.
Kontrolpunkterne her er praksis. Ingen regel beskriver, hvordan et webbureau auditeres, og kontrollen bør stå i forhold til, hvad bureauet kan nå.
Er bureauet databehandler?
Har bureauet adgang til personoplysninger, fx i formularer, nyhedsbrevslister eller kundekonti på sitet, behandler det oplysningerne på jeres vegne. Det gør bureauet til databehandler efter databeskyttelsesforordningens artikel 28, og der skal være en databehandleraftale. At reglen rammer det typiske webbureau, er vores tolkning. Den bør prøves på jeres konkrete aftale.
Tilsynet kan være let, når risikoen er lav. Det viser Datatilsynets tilsynsvejledning fra 2021 med flere tænkte eksempler. Et af vejledningens tænkte eksempler er en frisør med online tidsbestilling, hvor koncept 1 bruges: intet tilsyn, medmindre man bliver opmærksom på, at noget er galt. Et andet er en webshop med en betalingsløsning, hvor Datatilsynet foreslår koncept 2, databehandlerens skriftlige bekræftelse, hvert andet år. Indsamler jeres formularer mere følsomme oplysninger, taler det for et tættere tilsyn.
Fire ting, bureauet reelt har adgang til
Administratorkonti. Bed om en liste over alle konti med administratorrettigheder på sitet, og hvem hos bureauet der bruger dem. Kontrollér, at hver person har sin egen konto, at der bruges totrinsgodkendelse, og at konti for medarbejdere, der er stoppet hos bureauet, er lukket. En fælles konto med et kodeord, flere kender, kan ikke spores til en person og er let at opdage i en kontrol.
Formulardata. Hvor ender henvendelserne fra formularerne? Ligger de i sitets database, sendes de som e-mail, eller går de til et eksternt system? Spørg, hvor længe de gemmes, og hvem hos bureauet der kan læse dem. Data, der ligger på sitet i årevis, er en risiko, ingen har besluttet at tage.
Udvidelser og opdateringer. Et moderne publiceringssystem bygger på udvidelser fra mange udviklere. Bed bureauet om en liste over installerede udvidelser og om, hvordan og hvor ofte de opdateres. Spørg, hvem der overvåger nye sårbarheder i dem. Svaret viser, om opdateringer er en fast rutine eller sker, når nogen husker det.
Domæne og DNS. Hvem står som ejer af domænet hos registratoren, og hvem kan ændre DNS-opsætningen? Står bureauet som ejer, er det et ejerskabsproblem, der bør rettes, uanset hvor godt samarbejdet er. Kontrollér også, hvem der modtager meddelelser om fornyelse, så domænet ikke udløber, fordi en mail gik til en tidligere medarbejder hos bureauet.
Hosting og backup af sitet
Mange bureauer står også for hostingen, enten selv eller gennem en udbyder, de har valgt. Spørg, hvor sitet ligger, hvem der har adgang til serveren eller hostingkontoen, og om der tages backup af både filer og database. Bed om datoen for den seneste gendannelse, bureauet har prøvet. En backup, ingen har prøvet at lægge tilbage, beviser ikke meget.
Ligger hostingen hos en udbyder, bureauet har valgt, er udbyderen en underleverandør. Behandler sitet personoplysninger, er den en underdatabehandler, som efter artikel 28, stk. 2, kun må bruges med jeres godkendelse.
Når samarbejdet slutter
Når et leverandørforhold slutter, bør alle leverandørens fysiske og logiske adgange fjernes i tide. Sådan lyder en af anbefalingerne i statens vejledning om cybersikkerhed i leverandørforhold. For et webbureau betyder det administratorkonti på sitet, adgang til hostingkontoen, adgang til domæneregistratoren og eventuelle nøgler til eksterne tjenester.
Lav listen, mens samarbejdet kører. Ved et brud kan det være svært at få bureauet til at hjælpe med at lukke sine egne adgange.
Kontrollen i praksis
Kontrollen kan klares på et møde og en eftermiddags opfølgning. Send de fire områder som spørgsmål på forhånd, og bed om skærmbilleder eller udtræk som bevis. Følg op på de punkter, hvor svaret ikke kan vises. Skriv svarene og beviserne i en kort note, der lægges ved leverandørlisten. Så kan næste års gennemgang sammenlignes med sidste, og I kan se, om bureauets adgange er vokset.
Et lille bureau giver grund til en kort og konkret kontrol, der holder sig til de fire områder.
Hvad det kræver, og hvad det koster at lade være
Det kræver en databehandleraftale, hvis bureauet ser personoplysninger, en oversigt over bureauets adgange og en kort gennemgang årligt og hver gang sitet ændres væsentligt.
Uden kontrollen kan en glemt administratorkonto eller en forældet udvidelse åbne sitet for andre. Og hvis domænet er registreret i bureauets navn, kan et uenigt farvel trække ud i lang tid.
Det skal I lade være med
- At lade bureauet stå som ejer af domænet · ejerskabet skal ligge hos jer.
- At dele én administratorkonto mellem flere · så kan handlinger ikke spores til en person.
- At glemme bureauets adgange ved ophør · listen skal findes, før samarbejdet slutter.
Det skal auditten kunne vise
- ☐ En databehandleraftale, hvis bureauet har adgang til personoplysninger.
- ☐ En liste over administratorkonti med navngivne brugere og totrinsgodkendelse.
- ☐ En beskrivelse af, hvor formulardata ender, og hvor længe de gemmes.
- ☐ En liste over udvidelser og en rutine for opdateringer.
- ☐ Domæneejerskab hos jer og en liste over bureauets adgange til brug ved ophør.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 1 og 2, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 6.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed bureauet om en liste over alle administratorkonti og om, hvem der står som ejer af domænet.
Læs også: Til- og fratrædelser hos leverandøren · Konsulenter og freelancere med adgang
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
