Når kunden bruger SikkerDigitals leverandørværktøj

En kunde sender jer et kort spørgeskema på dansk med fem overskrifter og beder om svar, før aftalen kan falde på plads. Skemaet kan stamme fra leverandørdialogværktøjet på sikkerdigital.dk, og så hviler et godt svar på at kende værktøjets egen logik: det er skrevet til kunden som udgangspunkt for en samtale, ikke som en prøve med rigtige og forkerte svar.

Værktøjet ligger under “Test og værktøjer” for virksomheder på sikkerdigital.dk. Det findes som en dansk pakke, som siden kalder vejledning og tjekliste til dialog om IT-sikkerhed med IT-leverandøren, og som en engelsk pakke med et dialogværktøj og et spørgeskema. Ifølge sitets egen præsentation står Styrelsen for Samfundssikkerhed bag sikkerdigital.dk sammen med en række samarbejdspartnere.

Hvad værktøjet er skrevet til

Vejledningen henvender sig til den virksomhedsleder, der køber IT-løsninger. Lederen har ifølge vejledningen det overordnede ansvar for, at løsningen er tilstrækkelig sikker, mens det typisk er leverandøren og den IT-ansvarlige, der udfører sikkerhedsarbejdet. Kunden opfordres til at sende spørgeskemaet til leverandøren, bede om svar og bruge svarene som grundlag for en dialog og for at afklare, hvem der har ansvaret for hvad.

Tre ting fra vejledningen er værd at kende som leverandør:

Målgruppen · værktøjet er primært tænkt til dialog med mindre IT-leverandører.
Formen · vejledningen skriver, at spørgeskemaet ikke er en tjekliste eller et juridisk dokument, men kan hjælpe kunden med at finde de punkter, der skal med i kontrakten.
Brugen · det kan bruges både ved aftaler med nye leverandører og ved løbende vurdering af eksisterende.

Siden bruger altså ordet tjekliste om pakken, mens vejledningen selv understreger, at skemaet er et udgangspunkt for samtale. Det er den sidste forståelse, jeres svar bør bygge på. → Sikkerhedsspørgeskema fra kunden

Fem områder, kunden kan spørge til

Spørgeskemaet er delt i fem hovedområder: beskyttelse mod uønsket adgang, tilgængelighed og oppetid, hvordan I arbejder med og dokumenterer sikkerheden, beskyttelse af persondata og ansvarsfordelingen mellem kunde og leverandør. Under hvert område står nogle få spørgsmål, fx om serverplacering, overvågning, håndtering af sårbarheder, backup, beredskabsplan og multifaktor login.

Vejledningen har uddybende bemærkninger til hvert spørgsmål og angiver, hvilke svar der kan forventes ved et passende sikkerhedsniveau. Den tilføjer selv, at oversigten ikke er en facitliste. For jer betyder det, at kunden kan have vejledningen ved siden af, når jeres svar læses. Læs den derfor selv, før I svarer.

Vejledningen skelner også mellem løsninger, kunden selv driver, og cloud-services. Ved cloud-services lægges mere af ansvaret over på leverandøren, og ved mindre leverandører af cloud-services er der ifølge vejledningen behov for en mere uddybende dialog. Et SaaS-produkt fra et mindre softwarehus falder lige ind under den beskrivelse. → Standardiserede spørgeskemaer

Spørgsmålene om test

Under dokumentationsområdet spørger skemaet, hvordan sikkerheden bliver auditeret og testet, fx ved penetrationstest, audit ved tredjepart, kodegennemgang eller sikkerhedsreview. Det spørger også, hvilken metodik testen følger, og hvor ofte og i hvilke sammenhænge løsningen bliver testet.

Vejledningens bemærkninger går et skridt videre. Leverandøren bør få sikkerhedstestet sit produkt eller sin service, og resultaterne bør kunne fremvises. Som minimum bør der testes ved større ændringer af løsningen, og for cloud-services bør der testes regelmæssigt ud fra leverandørens risikovurdering.

Testspørgsmålet står ikke alene. Under området om uønsket adgang spørger skemaet til jeres procedurer for at modtage, håndtere og rette sårbarheder i produktet, og til hvor hurtigt opdateringer bliver installeret. Fund fra en penetrationstest hører naturligt med i det svar, sammen med jeres kontaktvej for sårbarheder.

Svaret kræver altså tre ting fra jer: hvilken type test der er lavet, hvordan testeren har arbejdet, og hvad der styrer jeres testrytme. Kan I henvise til en rapport, et resumé eller en testerklæring, så skriv, hvilken form kunden kan få at se. → Pentestspørgsmålene i skemaet

Dokumentation og rammeværk

Skemaet spørger, om I følger eller er certificeret efter et rammeværk. Vejledningen nævner bl.a. ISO 27001, ISAE 3402, OWASP og NIST Cybersecurity Framework og gør opmærksom på forskellen mellem at følge en anbefaling og at have været igennem en certificering eller revision. Den skriver også, at leverandøren mindst én gang om året bør kunne sende opdateret dokumentation for sikkerheden, fx en revisorerklæring eller en gyldig certificering.

Skriv præcist, hvad I har. At følge OWASP’s anbefalinger i udviklingen er noget andet end at være certificeret, og kunden har vejledningens forklaring på forskellen lige ved hånden. → ISO 27001 i et softwarehus

Ansvarsfordelingen er også jeres emne

Det femte område handler om, hvad kunden selv står for. Vejledningen fremhæver styring af brugerkonti og de sikkerhedsfunktioner, der findes i en løsning, men ikke er slået til som standard. Leverandøren skal ifølge vejledningen kunne redegøre for, hvilke dele af konfigurationen kunden har ansvaret for.

Det er en anledning, ikke en byrde. Et klart svar om, hvad kunden skal gøre med brugere, roller og multifaktor login, viser, at I har tænkt ansvarsfordelingen igennem. → Kundernes eget ansvar

Sådan forbereder I svarene

Fordi værktøjet er offentligt, kan I forberede jer, før kunden sender det. Lav et standardsvar til hvert af de fem områder, og læg det i jeres svarbibliotek med en ejer og en dato. Brug den engelske udgave, når en kunde med engelsk som arbejdssprog stiller de samme spørgsmål. Svar kort, og henvis til dokumenter, kunden kan få, i stedet for at skrive dem af. Svaret på persondataområdet bør komme fra den hos jer, der har ansvaret for persondata, så det passer med jeres øvrige dokumentation.

☐ I har læst både spørgeskemaet og vejledningens bemærkninger.
☐ Hvert af de fem områder har et godkendt standardsvar.
☐ Testsvaret nævner type, metode og testrytme.
☐ Det fremgår, hvilken form for testresultat kunden kan se.
☐ Ansvarsfordelingen er beskrevet konkret.
☐ Svarene er gennemgået inden for det seneste år. Se Svarbiblioteket

Det skal I lade være med

At behandle bemærkningerne som facit · vejledningen siger selv, at de ikke er det.
At svare ja uden at vise hvordan · skemaet spørger til metode og hyppighed, ikke kun om test findes.
At blande anbefaling og certificering sammen · vejledningen skelner mellem dem.
At udelade kundens del · ansvarsfordelingen er et af de fem områder.
At se skemaet som en engangsopgave · værktøjet er også tænkt til løbende vurdering.

Hvad kan og ikke kan konkluderes

Et godt besvaret skema fra SikkerDigitals værktøj giver kunden et grundlag for samtalen og for kontrakten. Det er ikke en godkendelse, og værktøjet fastsætter ikke, hvornår en leverandør er god nok. Det afgør kunden ud fra sin egen risikovurdering. Teksten bygger på værktøjet, som det lå på sikkerdigital.dk i oktober 2026.

Kilder

SikkerDigital: Test og værktøjer: leverandørdialogværktøjet som dansk vejledning med spørgeskema og som engelsk dialogværktøj med spørgeskema; målgruppe, de fem områder, bemærkningerne om test, rammeværk, årlig dokumentation og ansvarsfordeling.
Om sikkerdigital.dk: Styrelsen for Samfundssikkerhed og en række samarbejdspartnere står bag sitet.

Senest gennemgået: oktober 2026.