Når IT-leverandøren både driver jeres systemer, sælger løsningerne og vurderer sikkerheden, er vurderingen nyttig, men den kan ikke stå alene. Leverandøren kender driften bedst, så hans målinger er et godt udgangspunkt. Spørgsmålet om, hvorvidt driften er god nok, og hvad der mangler, bør en part uden egne interesser besvare.
Mange mindre og mellemstore virksomheder har ét billede af deres IT-sikkerhed, og det kommer fra leverandøren. Det sker sjældent af ond vilje. Det er bare den, der har adgangen og viden. Her ser vi på, hvad leverandørens egen vurdering kan bruges til, hvor konflikten ligger, og hvilke alternativer der findes.
Hvorfor det er en interessekonflikt
En leverandør, der vurderer sin egen drift, har tre roller på én gang. Han har bygget opsætningen, han får betaling for at drive den, og han tjener på de løsninger, han anbefaler. Fund, der viser fejl i hans eget arbejde, er ubehagelige at skrive. Fund, der kan løses med et nyt produkt fra hans eget sortiment, er lette at skrive.
Det er vores tolkning, at det er en interessekonflikt i almindelig forstand. Ingen regel forbyder en virksomhed uden særlig regulering at lade leverandøren vurdere sig selv. Det er derfor jeres egen beslutning, hvor meget I vil lægge vægt på vurderingen.
Hvad leverandørens vurdering kan bruges til
Meget af det, en leverandør måler, er faktuelt og nyttigt. Sikkerdigital.dk skelner i sin vejledning om audit mellem systemspecifikke foranstaltninger som antivirus, backup og opdatering, der ofte kan måles og typisk er noget, man kræver rapportering om fra driftsleverandøren, og tværgående foranstaltninger som politikker, processer og fysisk sikkerhed, der auditeres ved inspektion, interview, dokumentgennemgang og stikprøver.
Leverandøren kan altså med rette levere tal: hvor mange maskiner der mangler opdateringer, hvornår backup senest blev gendannet, hvor mange konti der har administratorrettigheder. Sådanne rapporter bør I bede om fast og læse. De er et godt bevis i en senere audit.
Hvad den ikke kan svare på
Leverandørens tal svarer ikke på, om det, der måles, er det rigtige. De siger ikke, om jeres risici er dækket, om aftalen med leverandøren stiller de rigtige krav, eller om rettighederne i økonomisystemet passer til folks opgaver. De siger heller ikke noget om det, leverandøren ikke har ansvar for, fx medarbejdernes adfærd eller de systemer, I selv har købt som abonnement.
Og de siger ikke noget om leverandøren selv: hvem hos ham der har adgang til jeres systemer, hvordan han beskytter sine egne værktøjer til fjernadministration, og om han har underleverandører.
Alternativerne
Faste rapporter fra leverandøren. Det billigste skridt er at aftale, hvilke tal leverandøren rapporterer, hvor ofte og til hvem. Sikkerdigital.dk har et værktøj til dialog om IT-sikkerhed med IT-leverandøren med vejledning og tjekliste. Værktøjets indhold er ikke gennemgået her.
Et uafhængigt tjek. For den mindre virksomhed kan et fokuseret tjek af de vigtigste områder give et uafhængigt billede uden en fuld audit. Se IT-sikkerhedstjek og den lille kundes situation i IT-leverandøren siger, at alt er fint.
En uafhængig audit. Når resultatet skal vises til forsikringen, til kunder eller til bestyrelsen, eller når der skal tages stilling til selve aftalen med leverandøren, er en audit ved en uvildig part det, der kan bære. Kriterierne for uvildighed står i uvildig sikkerhedsaudit.
Hvordan auditten bruger leverandørens materiale
En uafhængig audit starter med leverandørens egne rapporter. Auditor kontrollerer, om tallene kan genskabes, fx ved at trække det samme udtræk selv eller ved at tage stikprøver. Holder tallene, kan de bruges som bevis. Det sparer tid hos jer og hos leverandøren.
Auditten ser derefter på det, tallene ikke dækker: jeres egne krav til leverandøren, ansvarsfordelingen, og hvordan I følger op. Skal I gå længere og bruge en revisionsret i aftalen eller læse leverandørens erklæringer, er det emnet for audit af leverandøren og kundens revisionsret.
Når leverandøren er en del af løsningen
En uafhængig vurdering er ikke en mistillidserklæring. En god leverandør har interesse i at få sine målinger bekræftet og i at få en klar liste over, hvad kunden forventer. Det er almindelig praksis at informere leverandøren, før auditten starter, og at give ham mulighed for at kommentere fund, der handler om hans ydelse. Hvordan uenighed om et fund håndteres, står i uenig i et fund.
Hvad det kræver, og hvad det koster at lade være
At få faste rapporter fra leverandøren kræver en aftale om, hvad der rapporteres, og en person hos jer, der læser dem. Et uafhængigt tjek eller en audit kræver et opdrag, læseadgang og nogle timer hos leverandøren til at svare på spørgsmål.
Lader I leverandørens vurdering stå alene, har I ingen kontrol med det, han ikke selv har valgt at måle. Fejl i hans egen opsætning bliver måske aldrig skrevet ned. Og når en kunde eller en forsikring spørger, hvordan I ved, at sikkerheden er i orden, er jeres eneste svar, at leverandøren har sagt det.
Det skal I lade være med
- At lade leverandøren definere, hvad der måles · han vælger så sine egne kriterier.
- At bruge en vurdering fra leverandøren over for kunder · modtageren ser interessekonflikten.
- At holde leverandøren uden for den uafhængige audit · hans tal er et godt bevis, når de kan genskabes.
Det skal auditten kunne vise
- ☐ Hvilke tal leverandøren rapporterer, hvor ofte og til hvem.
- ☐ Om leverandørens tal kan genskabes ved udtræk eller stikprøve.
- ☐ Hvilke krav aftalen stiller til leverandørens sikkerhed.
- ☐ Hvem hos jer der følger op på leverandørens rapporter.
Kilder
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Sikkerdigital.dk, Test og værktøjer, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Teknisk gennemgang eller audit af styringen · Intern og ekstern audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
