Revisorerklæringer (ISAE 3402/3000): hvad de betyder for dit valg

Kort svar: Revisorerklæringer er uafhængige kontroller af en leverandørs processer. ISAE 3402 dækker leverandørens generelle it-kontroller (drift, adgang, backup, ændringsstyring), mens ISAE 3000 bruges til andre erklæringer – herunder om databeskyttelse og GDPR. Type 2-erklæringer er de værdifulde, fordi revisor har testet, om kontrollerne virkede over en periode – ikke kun, at de fandtes på papiret. Spørg efter den aktuelle erklæring, og læs konklusionen, afvigelserne og omfanget – ikke kun forsiden.

Fagligt gennemgået: 2. oktober 2026

Som dataansvarlig skal du føre tilsyn med dine databehandlere – men du kan ikke selv rejse rundt og auditere datacentre. Det er præcis det problem, revisorerklæringer løser: én uafhængig kontrol, som mange kunder kan læne sig op ad.

Her er, hvad typerne betyder, hvordan du læser en erklæring på kort tid, og hvad du gør, når leverandøren ikke har en.

Typerne: 3402, 3000 – og type 1 vs. type 2

ISAE 3402 er den internationale standard for erklæringer om kontroller hos en serviceleverandør. Den er oprindeligt rettet mod kontroller, der har betydning for kundernes regnskab, og dækker typisk generelle it-kontroller: fysisk sikkerhed, adgangsstyring, ændringshåndtering, backup og drift.

ISAE 3000 er den generelle standard for andre erklæringer med sikkerhed. Den bruges bl.a. til erklæringer om informationssikkerhed og databeskyttelse – ofte kaldet en GDPR-erklæring – hvor revisor tager stilling til behandlingssikkerhed, databehandlerforpligtelser og sletning.

Den afgørende dimension er dog type 1 vs. type 2:

Erklæring	Revisor siger	Værdi for dig
Type 1	Kontrollerne var beskrevet og hensigtsmæssigt designet på en bestemt dato	Et første skridt – men intet om, hvordan det gik i praksis
Type 2	Kontrollerne virkede i praksis over en periode (typisk 6-12 måneder), og de er testet	Den udgave, der bærer vægt i dit tilsyn

Certificeringer som ISO 27001 supplerer. Et ISO 27001-certifikat viser, at leverandøren har et ledelsessystem for informationssikkerhed; en type 2-erklæring viser, at konkrete kontroller er testet. Stærkest sammen – ikke i stedet for hinanden.

Udenlandske leverandører: SOC 2

Hos især amerikanske leverandører møder du ofte en SOC 2-rapport i stedet for en ISAE-erklæring. SOC 2 er en amerikansk rapporttype om kontroller for sikkerhed og eventuelt tilgængelighed, fortrolighed og databeskyttelse. Også her findes type 1 og type 2, og de samme læseråd gælder.

En SOC 2-rapport siger dog ikke i sig selv noget om GDPR eller tredjelandsoverførsler. Det spørgsmål skal stadig besvares i databehandleraftalen og leverandørens dokumentation – se guiden til tredjelandsoverførsler.

Sådan læser du erklæringen på ti minutter

Spring salgsforsiden over, og læs som køber, ikke som revisor:

1. Konklusionen: Er den uden forbehold („umodificeret“)? Et forbehold betyder, at revisor ikke kunne bekræfte alt.
2. Afvigelserne: Hvilke kontroller fejlede i testen, og hvad svarede leverandøren? Få afvigelser med en handlingsplan er normalt. Gentagne fejl i adgangsstyring eller backup er et advarselstegn. En mistænkeligt fejlfri rapport er ikke nødvendigvis bedre end en, der åbent håndterer et par bemærkninger.
3. Perioden: Dækker den det seneste år? En flere år gammel erklæring er historie, ikke dokumentation.
4. Omfanget: Hvilke ydelser og lokationer er dækket? Køber du noget uden for erklæringens omfang, siger den intet om det.
5. Komplementære kontroller: De ting, du selv forventes at gøre – stærke kodeord, totrinslogin, egen adgangsstyring. Dem skal du faktisk gøre; ellers hviler erklæringen på en forkert forudsætning.

Afsnit i erklæringen	Godt tegn	Advarselstegn
Konklusion	Uden forbehold	Forbehold eller „afkræftende“ konklusion
Afvigelser	Få, forklarede og med handlingsplan	Gentagne fejl i adgang, backup eller ændringer
Periode	Afsluttet inden for det seneste år	Flere år gammel uden ny udgave
Omfang	Dækker de ydelser, du køber	Kun hovedkontor eller en anden ydelse

Sådan får du fat i erklæringen

Erklæringer ligger sjældent frit på leverandørens hjemmeside. Ofte skal du bede om dem via support eller din kontaktperson, og nogle leverandører udleverer dem kun under en fortrolighedsaftale, fordi de beskriver interne sikkerhedskontroller. Det er normalt og ikke et tegn på, at noget skjules.

Når du spørger, så vær konkret:

• Hvilken standard og type (fx ISAE 3402 type 2 eller ISAE 3000 type 2 om databeskyttelse)?
• Hvilken periode dækker den, og hvornår kommer den næste?
• Er de ydelser, du køber, med i omfanget?
• Er underleverandører som datacentre med, eller er de holdt udenfor?

Får du et vagt svar som „vi er selvfølgelig GDPR-compliant“ uden dokumentation, så bed om det skriftligt og konkret. En seriøs leverandør kan forklare, hvad de har – og hvad de ikke har.

Underleverandører og huller mellem perioderne

To detaljer bliver ofte overset:

Underleverandører: Mange leverandører bruger selv et datacenter eller en cloudplatform. Erklæringen beskriver, om underleverandørens kontroller er med (inklusiv metode) eller holdt uden for (carve-out). Ved carve-out skal du selv sikre dig dokumentation for underleverandøren – fx dens egen erklæring – og se den i sammenhæng med listen over underdatabehandlere.

Perioden slutter før i dag: En type 2-erklæring dækker en afsluttet periode. Spørg leverandøren, om der er sket væsentlige ændringer siden. Nogle leverandører udsteder et såkaldt bridge letter – en erklæring fra ledelsen om, at kontrollerne er fortsat uændret frem til en senere dato.

Hvad erklæringen dækker – og ikke

En ren type 2-erklæring dokumenterer, at leverandørens processer virker. Den garanterer ikke mod hændelser, og den dækker ikke din egen opsætning oven på platformen: Et svagt admin-kodeord eller et sårbart plugin er stadig dit ansvar (jf. hubben om sikkerhed og backup).

Brug erklæringen til det, den er: dokumentationen for dit leverandørtilsyn. Gem den årlige udgave i compliance-mappen sammen med databehandleraftalen og noterne om underdatabehandlere. Så bliver både NIS2-spørgeskemaer og dokumentationskrav i udbud hurtigere at besvare.

Når leverandøren ikke har en

Ingen erklæring er ikke automatisk diskvalificerende. Små specialleverandører har den sjældent, og det koster reelt at få lavet en. Alternativerne i faldende styrke:

• Et ISO 27001-certifikat med et relevant omfang.
• Dokumenterede kontroller plus ret til audit i aftalen.
• Et grundigt, skriftligt svar på de ti spørgsmål om dataplacering og på dine spørgsmål om backup, adgangsstyring og hændelseshåndtering.

Vægt kravet efter datatype: For kernedata (hosting, mail, backup) bør dokumentationen være stærk; for perifere værktøjer kan mindre række. Mangler en leverandør en erklæring helt, er spørgsmålet „hvad har I så i stedet?“ – og svaret fortæller som regel meget om, hvor professionelt driften er organiseret.

Gør det til en årlig rutine

Gem hver erklæring i leverandørmappen med årstal, og bed automatisk om den nye, når perioden er udløbet. Notér i dit tilsynsnotat, hvad du har læst, om der var afvigelser, og om du selv udfører de komplementære kontroller.

Så har du både dit eget tilsyn og svaret klar, når kunder, revisorer eller udbud spørger. Det tager typisk en time om året pr. vigtig leverandør – og det er dokumentation, du ellers skulle opbygge under tidspres. Spørg også din hostingudbyder, hvilken dokumentation de kan lægge frem, og vurdér den efter samme tjekliste.

Læs også

• Hub: Datasuverænitet
• Databehandleraftale med dit hostingfirma
• Subprocessorer: sådan læser du listen
• Dokumentationskrav i offentlige udbud
• 10 spørgsmål om dataplacering til enhver leverandør
• Webhotel hos Hostious – dansk virksomhed og dansk support, servere i Europa

Ofte stillede spørgsmål om revisorerklæringer

Hvad er forskellen på ISAE 3402 og ISAE 3000?

ISAE 3402 dækker kontroller hos en serviceleverandør, typisk generelle it-driftskontroller. ISAE 3000 er den generelle erklæringsstandard, som bl.a. bruges til erklæringer om databeskyttelse og GDPR. Mange driftsleverandører har begge, og type 2 er den udgave, der bærer vægt.

Er ISO 27001 det samme som en revisorerklæring?

Nej – ISO 27001 certificerer ledelsessystemet for informationssikkerhed; en ISAE type 2-erklæring tester konkrete kontrollers virkning over en periode. De supplerer hinanden.

Hvad skal jeg især kigge efter i erklæringen?

Konklusion uden væsentlige forbehold, en aktuel periode, at dine ydelser er med i omfanget – og de komplementære kontroller, du selv forventes at udføre.

Kan jeg bruge en SOC 2-rapport i stedet for en ISAE-erklæring?

Ja, til at vurdere leverandørens kontroller, især hvis det er en type 2-rapport. Men den dækker ikke i sig selv GDPR og tredjelandsoverførsler, så dem skal du stadig vurdere ud fra databehandleraftalen.

Hvad gør jeg, hvis erklæringen er mere end et år gammel?

Spørg leverandøren om den nye erklæring, og om der er sket væsentlige ændringer siden. Nogle leverandører kan give et bridge letter, der dækker tiden fra periodens udløb og frem. Notér svaret i dit tilsyn.