Når IT-leverandøren siger, at alt er fint, kan en mindre virksomhed få et uafhængigt svar ved at lade en person uden tilknytning til leverandøren se på det, der kan undersøges hos virksomheden selv, og stille leverandøren en række konkrete spørgsmål, som skal besvares med noget, der kan vises. Det kræver ingen revisionsret og intet sikkerhedsbilag i kontrakten.
Spørgsmålet “kan jeg stole på min IT-leverandør?” er rimeligt, og det er ikke en anklage. Leverandøren kan være dygtig og omhyggelig. Problemet er, at den, der driver og sælger løsningerne, også er den eneste, der vurderer dem. Den lille kunde har intet andet billede at holde svaret op imod.
Kundens ansvar
Datatilsynet skriver i sit materiale til små virksomheder, at har man lagt IT-drift og IT-sikkerhed ud, er det ens eget ansvar at stille de rigtige krav til leverandøren. Det gælder, når virksomheden behandler personoplysninger. Ansvaret følger ikke med driften ud af huset.
For den lille kunde betyder det, at “leverandøren tager sig af det” ikke er et svar, virksomheden kan læne sig op ad over for en kunde, en forsikring eller Datatilsynet. Virksomheden har brug for selv at vide nok til at stille krav og vurdere svarene.
Det, et tjek kan se hos jer selv
Meget kan ses uden at gå ind hos leverandøren. Et uafhængigt tjek kan typisk undersøge følgende hos kunden selv, med læseadgang eller med udtræk, leverandøren leverer:
- Hvem der har adgang. Brugere og administratorer i mailtjeneste, filer og fagsystemer, og om leverandørens egne konti er personlige og nødvendige.
- Hvordan der logges ind. Om to-faktor-login er slået til, og hvor der er undtagelser.
- Opdateringer. Om computere og programmer er opdateret, og om der står gamle systemer, der ikke længere får rettelser.
- Backup. Hvilke data der kopieres, hvor kopierne opbevares, og datoen for den seneste prøvede gendannelse.
- Fjernadgang. Hvilke veje der er ind udefra, og hvem der bruger dem.
Fundene herfra beskriver jeres eget miljø, som det ser ud i dag. Leverandøren som virksomhed bliver ikke bedømt.
De spørgsmål, der går til leverandøren
Noget kan kun leverandøren svare på. Det er almindelig praksis at stille spørgsmålene skriftligt og bede om svar, der kan dokumenteres. Sikkerdigital.dk har et værktøj til dialog med IT-leverandøren om sikkerhed, med vejledning og en tjekliste, som kan bruges som udgangspunkt. Eksempler på spørgsmål:
- Hvem hos jer har adgang til vores systemer, og hvordan lukkes adgangen, når en medarbejder hos jer stopper?
- Hvornår har I sidst gendannet vores data fra backup, og hvad var resultatet?
- Hvordan får vi besked, hvis der sker en hændelse, der berører os, og hvor hurtigt?
- Hvilke underleverandører bruger I til vores drift?
- Kan I sende os en månedlig rapport om opdateringer og backup?
Det sidste spørgsmål er værd at fremhæve. Ifølge sikkerdigital.dk er antivirus, backup og opdatering eksempler på forhold, der lader sig måle, og som kunden med fordel lader driftsleverandøren rapportere på. En fast rapport giver kunden noget at følge, også efter tjekket.
Når svarene ikke kommer
En leverandør, der ikke vil svare, eller som svarer i generelle vendinger, giver kunden et svar af en anden slags. Der er ikke nødvendigvis noget galt, men kunden har ingen mulighed for at vide det. Næste skridt kan være at få kravene skrevet ind i aftalen. Hvordan større kunder bruger revisionsret og erklæringer over for deres leverandører, er beskrevet under kundens revisionsret og leverandørens erklæringer.
Uafhængigheden
Tjekket giver kun et uafhængigt svar, hvis den, der laver det, ikke er knyttet til leverandøren. Spørg derfor, om den, der tilbyder tjekket, har forhandleraftaler, samarbejder med jeres leverandør eller planlægger at tilbyde jer drift bagefter. Flere kontrolspørgsmål af den slags finder I under uvildig og uafhængig.
Hvad det kræver, og hvad det koster at lade være
Et tjek af leverandørens arbejde kræver læseadgang eller udtræk, som leverandøren normalt kan levere uden besvær, og en kopi af aftalen. Det er en fordel at fortælle leverandøren om tjekket på forhånd. En leverandør, der gør sit arbejde godt, har selv en interesse i at få det dokumenteret.
Uden et uafhængigt svar bygger virksomheden på tillid alene. Det holder, indtil en hændelse viser, at backuppen ikke virkede, eller at en tidligere medarbejder hos leverandøren stadig havde adgang. Så er det for sent at stille de spørgsmål, der skulle have været stillet.
Det skal I lade være med
- At tage “alt er fint” som et svar · bed om det, der viser det.
- At lade leverandøren vælge, hvem der laver tjekket · så er afstanden væk.
- At gøre tjekket til en konflikt · målet er et fælles billede.
Det skal auditten kunne vise
- ☐ Det, der er undersøgt hos kunden selv, med bevis.
- ☐ De spørgsmål, der er stillet til leverandøren, og svarene.
- ☐ De svar, der mangler eller ikke kan dokumenteres.
- ☐ Forslag til krav, der kan skrives ind i aftalen.
Kilder
- Datatilsynet, “GDPR-univers for små virksomheder, Trin 6”, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
- Sikkerdigital.dk, “Test og værktøjer”, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ingen IT-ansvarlig i huset · De seks områder i sikkerhedstjekket
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
