Få overblik over krav til ISAE 3000-erklæringer, sikkerhedsbilag og dokumentation på jeres SKI-aftale.
Er I leverandør på en SKI-aftale, kan der gælde konkrete krav til jeres informationssikkerhed og dokumentation.
På flere aftaler, herunder 02.15 It-rådgivning (2025) og 02.17 It-konsulenter (2025), skal leverandører dokumentere efterlevelsen af sikkerhedskravene med en ISAE 3000-erklæring fra en uafhængig revisor. På andre aftaler handler det om at kunne dokumentere, at virksomheden lever op til kravene i aftalens sikkerhedsbilag.
Grant Thornton hjælper jer med at afklare kravene, skabe overblik over jeres nuværende sikkerhedsarbejde og komme videre med den dokumentation eller erklæring, I har brug for.
Vi afgiver allerede ISAE 3000-erklæringer for en væsentlig del af leverandørerne på 02.15 og 02.17.
Det første skridt er at få afklaret, hvad jeres aftale kræver, hvad I allerede har på plads, og hvad der mangler. Vi tager udgangspunkt i jeres konkrete SKI-aftale, jeres frister og jeres nuværende sikkerhedsarbejde og dokumentation. Så får I et klart grundlag for at prioritere indsatsen og komme videre.
Erklæringskravene til SKI-leverandøren fremgår altid af den konkrete SKI-aftale, det tilhørende sikkerhedsbilag og eventuelt den enkelte leveringskontrakt.
På aftaler med konkrete erklæringsfrister skal leverandøren typisk fremlægge en ISAE 3000 type 1-erklæring senest tre måneder efter aftalens ikrafttrædelse og derefter en type 2-erklæring årligt. Ved for sen fremsendelse kan der være bodsbestemmelser i aftalegrundlaget.
Andre SKI-aftaler kan have sikkerhedsbilag uden et generelt krav om ISAE 3000-erklæring. Her kan opgaven være at dokumentere efterlevelsen af sikkerhedskravene over for den enkelte offentlige kunde, for eksempel gennem en GAP-analyse og målrettet implementering.
En ISAE 3000-erklæring dokumenterer, at jeres sikkerhedsforanstaltninger lever op til de krav, der gælder for den konkrete aftale og leverance.
En type 1-erklæring vurderer, om de relevante kontroller er etableret og hensigtsmæssigt udformet på et bestemt tidspunkt. En type 2-erklæring vurderer desuden, om kontrollerne har fungeret effektivt gennem en aftalt periode.
Har jeres aftale en frist for type 1, er det vigtigt hurtigt at få afklaret erklæringens omfang, den eksisterende dokumentation og eventuelle mangler. Det giver bedre mulighed for at prioritere indsatsen, etablere relevante kontroller og samle den nødvendige evidens.
Vi hjælper jer med at afklare, hvad erklæringen skal omfatte, og planlægge et forløb med udgangspunkt i jeres konkrete SKI-aftale, leverance og sikkerhedskrav.
Efter type 1-erklæringen skal der på relevante aftaler afgives en type 2-erklæring. Her er planlægningen afgørende, fordi type 2-erklæringen skal dokumentere, at kontrollerne har fungeret effektivt gennem hele erklæringsperioden.
Det er særligt vigtigt at tage stilling til:
Vi hjælper med at vælge en hensigtsmæssig erklæringsperiode og tilrettelægge revisionsforløbet, så dokumentationsindsamling, test og rapportering hænger sammen med jeres øvrige erklæringsarbejde.
Et SKI-sikkerhedsbilag kan stille krav til blandt andet adgangsstyring, logning, beredskab, leverandørstyring og dokumentation af processer.
Kravene afhænger af den konkrete aftale og leverance. Derfor tager vi udgangspunkt i jeres situation og hjælper jer med at omsætte kravene til en praktisk og prioriteret plan.
Det kan for eksempel ske gennem en GAP-analyse, hvor vi vurderer jeres nuværende kontroller og dokumentation op mod de krav, I skal leve op til.
SKI’s revisionsinstruks kan stille konkrete krav til erklæringens indhold og opbygning. Det kan blandt andet omfatte ledelsens udtalelse, revisors erklæring, systembeskrivelse, relevante kontrolaktiviteter, testresultater samt håndtering af underleverandører og eventuelle konsortier.
Vi har erfaring med erklæringsforløb for SKI-leverandører og med den dokumentation, der skal indgå i et gennemarbejdet forløb. Det giver os et solidt udgangspunkt for at tilrettelægge arbejdet effektivt og i den rigtige rækkefølge.
Uanset om I står med en frist for en erklæring eller skal kunne dokumentere efterlevelse af et sikkerhedsbilag, kan vi hjælpe med at skabe struktur i arbejdet.
Vi kan blandt andet hjælpe jer med:
Partner | Leder af IT-risikostyring, revision & rådgivning
Nej. Kravet afhænger af den konkrete SKI-aftale, sikkerhedsbilaget og i nogle tilfælde den enkelte leveringskontrakt. På nogle aftaler er erklæringen obligatorisk, mens andre aftaler stiller krav om dokumentation af sikkerhedsforanstaltninger uden et generelt erklæringskrav.
En type 1-erklæring vurderer, om relevante kontroller er etableret og hensigtsmæssigt udformet på et bestemt tidspunkt. En type 2-erklæring vurderer også, om kontrollerne har fungeret effektivt gennem en aftalt periode.
På aftaler med konkrete erklæringsfrister kan der være bodsbestemmelser ved for sen fremsendelse. Derfor er det vigtigt at planlægge arbejdet i god tid, særligt ved type 2, hvor testarbejdet skal dække hele erklæringsperioden.
Revisionsinstruksen fastlægger krav til erklæringens opbygning og indhold. Det kan blandt andet omfatte systembeskrivelse, kontrolaktiviteter, revisors testhandlinger og håndtering af underleverandører.
Underleverandører og cloudtjenester kan have betydning for erklæringens omfang og den dokumentation, I skal kunne fremvise. Vi hjælper med at afklare, hvilke kontroller, aftaler og eventuelle erklæringer fra underleverandører der er relevante i jeres forløb.
Så snart I kender aftalens krav og frister. På nogle aftaler skal leverandøren fremlægge en type 1-erklæring senest tre måneder efter aftalens ikrafttrædelse. For type 2 bør erklæringsperioden fastlægges tidligt, da den danner grundlag for de kommende års erklæringer.
Ja. Vi kan starte med at afklare kravene og gennemføre en GAP-analyse, så I får en realistisk plan for arbejdet med kontroller, dokumentation og en eventuel erklæring.
ISO 27001 kan være et stærkt fundament for jeres informationssikkerhed, men det erstatter ikke nødvendigvis kravene i den konkrete SKI-aftale eller det tilhørende sikkerhedsbilag.
EU’s AI-forordning stiller nye krav. Få overblik over, hvordan I kortlægger, klassificerer og styrer virksomhedens AI-brug.
NIS2 skærper kravene til leverandørkontrol. Et spørgeskema alene rækker sjældent hos kritiske leverandører.
I efteråret 2026 kan din virksomhed søge tilskud til cybersikkerhed og digitalisering gennem SMV:Digital. Få op til 50.000 kr. Læs mere her.
Cyber Resilience Act skærper kravene til cybersikkerhed i software, apps og opkoblede produkter. De første frister gælder fra 11. september.