Offentlige kunder og udbud: dokumentationskravene til dine systemer

Kort svar: Vil du sælge til kommuner, regioner eller staten, bliver dine it-forhold en del af tilbuddet. Offentlige kunder spørger skriftligt til persondata og databehandleraftaler, dataplacering, sikkerhed, leverandørkæde og beredskab – og EU-placering af data er ofte et krav. Forbered én gang en dokumentationspakke med en kort it-beskrivelse, en kortlægning af dine systemer, databehandleraftaler, sikkerhedsrutiner og beredskabsplan. Så er spørgeskemaet en overskuelig opgave i stedet for en showstopper.

Fagligt gennemgået: 2. oktober 2026

Mange små og mellemstore virksomheder opgiver offentlige kunder på forhånd, fordi „deres krav er for tunge“. Men kravene er i høj grad de samme fornuftige ting, som enhver virksomhed bør have styr på – bare skrevet ned.

Her er, hvad det offentlige typisk spørger om, hvordan du svarer godt, og hvordan dine leverandørvalg på forhånd afgør, om svaret er nemt eller besværligt.

Tip: Læs altid de konkrete udbudsbetingelser og kravspecifikationen grundigt. Kravene varierer fra opgave til opgave, og det er dem – ikke en generel tjekliste – der afgør, hvad du skal svare på.

Hvad det offentlige spørger om

Spørgeskemaerne varierer, men kernen går igen:

Område	Typiske spørgsmål	Læs mere
Persondata	Hvilke data behandles? Er der databehandleraftaler? Hvordan slettes data?	Databehandleraftale
Dataplacering	Hvor lagres data – og hvor ligger backup?	Backup-geografi
Sikkerhed	Adgangsstyring, totrinslogin, opdateringer og logning	Adgangsstyring
Leverandørkæde	Underdatabehandlere og eventuelle revisorerklæringer	Subprocessorer
Beredskab	Backup, nedbrudsplan og håndtering af sikkerhedshændelser	Nedbrudsplanen

Derudover ser mange leverandører spørgsmål, der stammer fra NIS2. Virksomheder og myndigheder, der er omfattet af NIS2, skal håndtere sikkerheden i deres leverandørkæde, og derfor sender de ofte spørgsmål videre til deres leverandører – også de små, se NIS2-guiden.

Ingen af delene kræver et stort budget. De kræver orden.

Dokumentationspakken, du laver én gang

Fem dokumenter, som de fleste mindre virksomheder kan skrive på kort tid:

1. It-beskrivelsen – to til tre sider om systemer, dataplacering og roller.
2. Systemkortet fra kortlægningen af din leverandørkæde.
3. Aftalebilag – databehandleraftaler, listen over underdatabehandlere og leverandørernes eventuelle erklæringer samlet.
4. Sikkerhedstiltag – adgangspolitik, totrinslogin, opdaterings- og backuprutiner.
5. Beredskabet – procedure for nedbrud og for brud på persondatasikkerheden.

Læg pakken i en fælles compliance-mappe, datér den, og opdatér den mindst én gang om året. Så kan den genbruges på tværs af udbud, NIS2-spørgeskemaer fra kunder og store B2B-kunder. En driftsdokumentation og en adgangsoversigt er gode byggesten.

Leverandørvalgene, der svarer for dig

En stor del af spørgeskemaet handler reelt om dine leverandører, og her betaler enkle kæder sig. „Sitet og kundedata hostes hos en europæisk udbyder med drift og backup i EU; databehandleraftale og dokumentation vedlagt“ er et færdigt svar. En kæde gennem flere led i tredjelande kræver derimod afsnit med forklaring og bilag.

Vælger du hosting, mail og nyhedsbrev med dataplacering og dokumentation for øje, bliver udbudssvarene langt nemmere at skrive. Datasuverænitet er også salgsarbejde.

Spørg dine leverandører, hvilken dokumentation de kan udlevere: databehandleraftale, liste over underdatabehandlere, beskrivelse af backup og eventuelle revisorerklæringer, se guiden om ISAE-erklæringer. Det, de ikke kan dokumentere, kan du heller ikke.

Svarteknik: ærligt, kort, dokumenteret

Tre regler for gode svar:

• Svar på spørgsmålet – ikke på det, du ville ønske, de spurgte om – og henvis til bilag.
• Overlov aldrig. „Nej, men vi kan etablere det inden kontraktstart“ slår et ja, der falder ved kontrol. Offentlige kunder husker leverandører, der holdt, hvad de skrev.
• Brug hullerne. Hvert spørgsmål, du ikke kan svare godt på, er din næste forbedring. Efter et par udbud er pakken skarp.

Svar på kravene, ikke på jeres selvbillede. Hvor kravet siger „beskriv jeres backupprocedure“, vil bedømmeren have frekvens, opbevaringstid, placering og test – fire linjer, ikke fire afsnit om teknologifilosofi. Genbrug formuleringerne fra pakken ordret, hvor de passer.

Få en kollega uden teknisk baggrund til at læse svaret igennem. Kan vedkommende afgøre, om kravet er opfyldt, kan bedømmeren sandsynligvis også.

Eksempel: et kort, godt svar om backup

Sådan kan et svar på „Beskriv jeres backupprocedure“ se ud. Tallene er et eksempel – brug dine egne:

• Frekvens: automatisk backup dagligt samt manuel backup før større ændringer.
• Opbevaring: backups opbevares i en fast periode og slettes derefter automatisk.
• Placering: backup lagres i EU, adskilt fra produktionsmiljøet.
• Test: gendannelse testes mindst én gang om året og dokumenteres, se guiden om at teste din backup.
• Bilag: henvisning til leverandørens dokumentation og jeres beredskabsplan.

Svaret er kort, konkret og kan efterprøves. Det er præcis det, en bedømmer leder efter.

Hold pakken levende

Hemmeligheden bag at byde på offentlige opgaver uden at drukne er en færdig pakke, der ligger klar mellem udbuddene. Når udbuddet lander, tilpasser du forsiden og svarer på de konkrete spørgsmål – i stedet for at jage bilag i ugevis.

Giv pakken et kvartalstjek på et kvarter: Er der skiftet leverandør? Er erklæringerne fornyet? Passer beskrivelserne stadig? Læg det ind i kvartalstjekket.

Pakken betaler sig også uden for udbuddene. Private B2B-kunder, banker og forsikringsselskaber stiller ofte de samme spørgsmål, og et præcist svar samme dag signalerer professionalisme. Og husk: mindre opgaver købes ofte uden et fuldt udbud. Et ordentligt dokumentationsniveau gør dig til den nemme, trygge leverandør at vælge.

Læs også

• Hub: Datasuverænitet
• NIS2 for små virksomheder: er du omfattet – og hvad så?
• Revisorerklæringer (ISAE 3402/3000): hvad de betyder for dit valg
• Hvor ligger dine data egentlig? Kortlæg din leverandørkæde
• 10 spørgsmål om dataplacering til enhver leverandør
• Webhotel hos Hostious – fra en dansk virksomhed med dansk support og servere i Europa

Ofte stillede spørgsmål om offentlige kunder

Kræver offentlige kunder altid EU-dataplacering?

Ikke altid, men ofte – og de kræver næsten altid dokumentation for placering og grundlag. EU-placering af kernedata gør svaret kort og konkurrencedygtigt.

Skal en lille leverandør have ISO-certificering?

Sjældent som hårdt krav på mindre opgaver. Dokumenterede rutiner og leverandørers erklæringer rækker ofte. Certificering bliver mere relevant ved større, løbende kontrakter – men læs altid de konkrete krav.

Hvad er den hyppigste fejl i svarene?

Overlovning – et „ja“ uden dækning. Svar ærligt med plan og dato for det, der mangler. Det skaber tillid og holder ved kontrol.

Hvorfor får jeg NIS2-spørgsmål, når min virksomhed ikke er omfattet?

Fordi dine kunder kan være omfattet. NIS2 kræver, at omfattede virksomheder håndterer sikkerheden i leverandørkæden, så de stiller spørgsmål til deres leverandører. Din dokumentationspakke kan som regel genbruges til svarene.