Når en kunde kræver dokumentation for jeres IT-sikkerhed, kan en audit give jer et underbygget grundlag for at svare og en liste over det, der mangler. Selve auditrapporten er skrevet til jeres egen ledelse og bør som udgangspunkt blive hos jer, mens kunden får svar, uddrag eller en bekræftelse, der passer til det, kunden spurgte om.
Artiklen er til virksomheder, der ikke selv er IT-leverandører. Det kan være en producent, en grossist, et ingeniørfirma eller en revisor, der pludselig får et skema fra en stor kunde med spørgsmål om backup, adgang, hændelser og underleverandører. Kundens krav til IT-sikkerhed er ofte formuleret til IT-virksomheder, og det gør dem svære at svare på for en virksomhed, hvis kerneforretning er en anden.
Hvorfor kunden spørger
Kunden har brug for at vide, om leverandørerne er til at regne med. Er kunden selv omfattet af NIS 2-loven, omfatter § 6, stk. 1, nr. 4 forsyningskædesikkerhed, også i relationen til kundens direkte leverandører og tjenesteudbydere. Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger nævner, at kontrakter med leverandører bl.a. kan give kunden ret til revision eller ret til at modtage revisionsrapporter fra leverandøren. Pligten ligger hos kunden, men den mødes af jer gennem kontrakten. Det er en forenkling, og hvad der gælder i jeres forhold, står i aftalen. Situationen, hvor kunden er omfattet og I ikke er, har sin egen artikel: jeres kunde er omfattet af NIS 2.
Andre kunder spørger, fordi deres egen kunde, forsikring eller bestyrelse spørger dem. Skemaet er så en kæde af krav, der er sendt videre.
Hvad en audit kan give jer
En audit målt mod kundens spørgsmål gør tre ting:
- Den viser, hvilke svar der holder. For hvert ja samles det bevis, der viser det: et dokument, en oversigt, et udtræk eller et referat.
- Den finder de svar, der ikke holder. Et ja, ingen kan vise, bliver til et fund.
- Den giver jer en prioriteret plan. Kunden får et ærligt svar om det, der mangler, og hvornår det er på plads.
Det er ofte det sidste, der gør forskellen over for kunden. Et svar med en dato for udbedring er mere troværdigt end et skema med ja i alle felter.
Hvad en audit ikke kan
En audit giver ikke et certifikat og er ikke en revisorerklæring. En erklæring efter en standard som ISAE 3000 afgives af en erklæringsgiver med en defineret grad af sikkerhed og er lavet til modtagere uden for virksomheden. En auditrapport er skrevet til ledelsen. Det er en fortolkning af standarderne, at forskellen betyder noget for, hvad kunden kan lægge til grund. Kræver kunden en erklæring eller et certifikat, kan en audit forberede jer på det. Selve dokumentet skal komme fra den, der må afgive det.
Hvornår en erklæring er det rigtige produkt, behandles i erklæring eller auditrapport.
Hvorfor rapporten bliver hos jer
En auditrapport beskriver svagheder, som ikke er rettet endnu. Sendes den videre, ligger en beskrivelse af jeres huller hos en anden virksomhed, hvor I ikke styrer, hvem der læser den. Det er almindelig praksis at give kunden noget andet:
- svar på kundens egne spørgsmål med henvisning til det bevis, der ligger bag
- et kort resumé af auditten: hvad der er gennemgået, hvornår, mod hvilke kriterier og af hvem
- en status på de fund, der berører kunden, med dato for udbedring
- adgang til at se udvalgt dokumentation på et møde frem for at få den tilsendt.
Kræver kontrakten adgang til selve rapporten, er det værd at aftale, hvilke dele der udleveres, og at kunden behandler dem fortroligt. Hvem der i det hele taget bør få rapporten, står i hvem må få auditrapporten.
Når kunden vil auditere selv
Nogle kunder nøjes ikke med svar. De vil selv komme forbi, eller de beder en auditor gøre det på deres vegne. Kundens revisionsret og den måde, erklæringer læses på hos modtageren, er et område for sig, beskrevet under kundens revisionsret og leverandørens dokumentation. Har I selv lavet en audit først, er I bedre forberedt, når kunden kommer.
Hvad det kræver, og hvad det koster at lade være
En audit mod kundens spørgsmål kræver, at I samler skemaet, kontrakten og de krav, der henvises til, og giver auditor adgang til de folk, der kender svarene. Ofte er det IT-leverandøren, der skal levere en del af beviset, så den bør være med fra begyndelsen.
Uden et underbygget grundlag svarer I ud fra antagelser. Kunden kan senere bede om at se beviset, og et ja, der ikke kan vises, svækker tilliden mere end et ærligt nej med en plan. Hvis det samme skema kommer fra flere kunder, betaler I desuden for at gætte flere gange.
Når kundens krav ligger på bordet, kan Nielco IT lave en uvildig leverandøraudit, afgrænset til netop det kundeforhold.
Det skal I lade være med
- At sende hele auditrapporten til kunden · den beskriver huller, I ikke styrer læsningen af.
- At svare ja, hvor intet kan vises · et ubevist ja er et fund.
- At præsentere en audit som et certifikat · kunden kan lægge noget andet til grund, end I tror.
Det skal auditten kunne vise
- ☐ Kundens spørgsmål og krav, brugt som kriterier.
- ☐ Bevis bag hvert svar, I giver kunden.
- ☐ De svar, der ikke kan belægges, med plan og dato.
- ☐ Et resumé, der kan gives til kunden uden at udlevere rapporten.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 4, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, “Implementering af cybersikkerhedsforanstaltninger”, 1. udgave juni 2025, s. 28-30, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), afsnit 1 og 12, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad tæller som bevis · Hvornår giver en sikkerhedsaudit mening · Bogføringsloven og IT-sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
