En ISAE 3402-erklæring fra jeres hostingleverandør kan være lavet sådan, at datacentret og andre underleverandører er skåret fra. Så dækker erklæringen leverandørens egne kontroller og leverandørens opfølgning på underleverandørerne. Underleverandørernes egne kontroller står uden for.
For den driftsansvarlige er opgaven at finde ud af, hvilke led i kæden erklæringen dækker, og hvilke der skal dokumenteres med andre papirer.
To måder at håndtere underleverandører på
En revisor, der afgiver en ISAE 3402-erklæring om en leverandør, skal tage stilling til leverandørens underleverandører. Der er to metoder. De danske ord er helhedsmetoden og partielmetoden. Begreberne står her, som de er beskrevet i den australske udgave af standarden, der gengiver ISAE 3402’s begreber, og i en dansk revisionsinstruks.
Helhedsmetoden. Underleverandørens systembeskrivelse med kontrolmål og kontroller indgår i erklæringen, og revisor afprøver dem også. Erklæringen dækker så både leverandøren og underleverandøren.
Partielmetoden. Underleverandørens kontrolmål og kontroller er udeladt af beskrivelsen og af revisors opgave. Beskrivelsen nævner, hvad underleverandøren leverer, og indeholder leverandørens egne kontroller med underleverandøren. De kan bestå i, at leverandøren gennemgår underleverandørens egen erklæring. Efter den danske revisionsinstruks skal en erklæring efter partielmetoden som minimum indeholde kontrolmål og kontroller for overvågningen af underleverandørens kontroller.
Efter vores læsning betyder det, at en erklæring fra hostingleverandøren efter partielmetoden ikke siger noget om datacentrets egne kontroller med adgang, strøm og brand. Dem skal I finde i datacentrets egen erklæring.
Type 1 og type 2
Erklæringen kan være af to typer:
- Type 1 beskriver systemet og vurderer, om kontrollerne er hensigtsmæssigt udformet på en bestemt dato.
- Type 2 beskriver systemet og vurderer udformningen og om kontrollerne har virket gennem en periode, med revisors test og resultaterne af dem.
En type 1 er et øjebliksbillede. En type 2 viser, om kontrollerne faktisk har fungeret. For drift, I er afhængige af hver dag, er type 2 den, der giver mening at bede om.
Kontroller, I selv forudsættes at have
Erklæringen kan indeholde en liste over komplementære kontroller hos kunden, altså kontroller, leverandøren går ud fra, at I selv har. Det kan være, at I administrerer jeres egne brugere, at I melder fratrådte medarbejdere, eller at I selv tager backup af noget. Står kontrollerne i erklæringen, gælder revisors konklusion kun, hvis I faktisk har dem.
Læs listen, og sammenhold den med jeres egne procedurer. Her kan ansvaret falde mellem to stole.
Sådan læser den driftsansvarlige erklæringen
Gå erklæringen igennem i denne rækkefølge:
- Hvem og hvad. Hvilket selskab er erklæringen om, og hvilke ydelser dækker systembeskrivelsen? Er de ydelser, I køber, med?
- Underleverandører. Hvilke underleverandører nævnes, og er de med efter helhedsmetoden eller skåret fra efter partielmetoden? Datacentret, netværksleverandøren og eventuelle driftspartnere er de vigtigste.
- Type og periode. Er det type 1 eller type 2, og hvilken periode dækker den? Hvor lang tid er der gået siden periodens udløb?
- Revisors konklusion. Er den uden forbehold? Står der afvigelser i testene, så læs, hvad de handler om, og hvad leverandøren har gjort.
- Kundens kontroller. Hvilke kontroller forudsættes hos jer, og har I dem?
For hver underleverandør, der er skåret fra, bed leverandøren om underleverandørens egen erklæring eller certifikat, og læs omfanget på samme måde.
Sammenligning med C5
Den tyske C5 kræver, at kontroller, udbyderen forudsætter hos sine underleverandører, står i rapporten. Det gør det lettere at se kæden. Se C5 og C3A. En ISAE-erklæring kan vise det samme, men I skal selv finde det.
Her står det, der vedrører hosting og datacenter.
Hvad det kræver, og hvad det koster at lade være
At læse en erklæring grundigt første gang tager en halv til en hel arbejdsdag. At bede om og læse erklæringer fra de underleverandører, der er skåret fra, tager det samme pr. underleverandør. Derefter er det en årlig opgave, når den nye erklæring kommer.
Uden den gennemgang kan I stå med en erklæring, der ser dækkende ud, og som intet siger om bygningen, jeres data står i. Når en kunde eller en revisor spørger til fysisk sikkerhed, har I så intet svar. Posten er den tid, det tager at skaffe dokumentationen under tidspres, og i værste fald et forbehold i jeres egen revision.
Det skal I lade være med
- At læse forsiden og konklusionen alene · de udeladte led står inde i systembeskrivelsen.
- At acceptere en type 1, når I er afhængige af driften hver dag · den siger intet om, hvorvidt kontrollerne har virket.
- At overse kontrollerne hos kunden · revisors konklusion forudsætter, at I har dem.
Det skal valget kunne vise
- ☐ Selskab, ydelser, type og periode for leverandørens erklæring.
- ☐ Underleverandører, og om de er med eller skåret fra.
- ☐ Erklæringer eller certifikater for de led, der er skåret fra.
- ☐ Jeres egne kontroller sammenholdt med dem, erklæringen forudsætter.
Kilder
- AUASB: ASAE 3402 Definitions, den australske udgave af ISAE 3402’s begreber.
- KOMBIT: Revisionsinstruks ISAE 3402, version 2.4, afsnit 3, brugt for de danske ord.
- BSI: C5 FAQ.
Senest gennemgået: november 2026.
Næste skridt
Find jeres hostingleverandørs seneste ISAE-erklæring, og skriv ned, hvilke underleverandører der er skåret fra.
Læs også: Hvem ejer datacentret? · Syv led fra bygning til support
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
