Digital suverænitet

70 13 63 23

Trin 3 i exit‑planen: et overblik over de selskaber, der står bag jeres leverandører

Trin 3 i exit-planen: et overblik over de selskaber, der står bag jeres leverandører

En leverandør med europæisk adresse kan drive sin tjeneste på servere, som ejes af en koncern i et helt andet land. Trinnet hviler på leverandørernes egne offentlige lister over underleverandører, som de fleste cloudtjenester udgiver, men som de færreste kunder læser.

Rækkerne fra → Trin 2 viser, hvem I har kontrakt med. Her tilføjes de selskaber, der hoster, supporterer eller på anden måde behandler data på leverandørens vegne.

Eksemplet fra en tysk fjernsupportleverandør

TeamViewer er et tysk selskab med hovedsæde i Göppingen. Selskabets liste over underdatabehandlere, versionen fra 27. juli 2026, nævner fem hostingpartnere for hovedparten af produkterne.

To af dem er europæiske, Anexia i Klagenfurt og Schwarz Digits IT KG i Neckarsulm. De tre andre er Amazon Web Services EMEA Sarl i Luxembourg, Microsoft Ireland Ltd. og Google Ireland Ltd. i Dublin. Google opfører selv Google Ireland Ltd. som et selskab i Google-koncernen på sin liste for Google Workspace.

Samme liste nævner MongoDB, Inc. i New York som databaseleverandør til produktet Assist AR, med en note om hosting i EU. Eksemplet viser, at en europæisk kontraktpart kan hvile på infrastruktur fra amerikanske koncerner. Oplysningen er offentlig, men den står i et bilag, og bilaget skal læses.

Fremgangsmåden

  1. Find listen · Søg i leverandørens trust- eller compliancesider efter “subprocessors” eller “underdatabehandlere”. Notér version og dato.
  2. Udskil jeres produkt · Mange lister er opdelt pr. produkt eller funktion. Notér kun de selskaber, der gælder for det, I bruger.
  3. Notér selskab, land og opgave · Skriv selskabets fulde navn, adresse og den opgave, det udfører, fx hosting, support eller overvågning.
  4. Find moderselskabet · Slå hvert selskab op efter metoden fra Trin 2, så irske og luxembourgske datterselskaber kan føres tilbage til koncernen.
  5. Marker tilvalgsmoduler · Notér, hvilke underleverandører der kun kommer i spil, hvis en bestemt funktion slås til.
  6. Abonner på ændringer · Tilmeld en fælles postkasse til leverandørens varsler om nye underleverandører.
  7. Spørg om det, listen ikke viser · Bed leverandøren oplyse, om der er led længere nede i kæden, som ikke fremgår.

Hvor listerne findes

De store udbydere udgiver deres lister selv. Google offentliggør listen for Google Workspace med både koncernselskaber og eksterne underleverandører og de lande, hvor de arbejder. Siden var sidst ændret 19. oktober 2026 og har en oversigt over tidligere versioner.

Listen viser også, at hosting kun er en del af billedet. Google angiver fx Accenture International Limited som leverandør af teknisk support med arbejdssteder i blandt andet Indien, Japan og USA. Support kan give adgang til data fra andre lande end dem, hvor serverne står, og den adgang hører med i exit-planen.

Microsoft lægger sin liste i Service Trust Portal. Udgaven dateret 28. februar 2025 angiver for hver underleverandør tjeneste, opgave, behandlingssted, hovedkontor og moderselskab. AWS har sin egen liste på sine compliancesider.

Mindre leverandører lægger ofte listen som PDF bag et link i vilkårene. Findes den ikke, er manglen i sig selv en oplysning, der hører hjemme i exit-planen.

Spørg i så fald skriftligt og konkret. Hvilke selskaber hoster tjenesten, hvilke selskaber yder support, og i hvilke lande er de registreret? Gem svaret med dato, så det kan sammenholdes med næste svar.

Læs listen som et kort over kæden

Listen viser mere end hostingadressen. Den viser, hvilke selskaber der kan få adgang til data, og i hvilken rolle. Et selskab kan stå som hostingpartner ét sted og som leverandør af en AI-funktion et andet sted i samme leverandørs vilkår.

Notér derfor rollen ved hvert navn, og sammenhold listen med leverandørens øvrige bilag. Oplysningerne kan være fordelt på flere dokumenter med hver sin versionsdato. Behandles data af en sprogmodel uden for EU, er det et særskilt spørgsmål, som gennemgås i → Når AI-behandlingen forlader EU.

Placering og jurisdiktion er to forskellige ting. En note om “EU hosting location” siger noget om, hvor data ligger, men intet om, hvilken lovgivning moderselskabet er underlagt. Forskellen forklares i → De tre lag i digital suverænitet.

Ændringer kommer som varsler

Listerne ændrer sig. Databeskyttelsesforordningens artikel 28, stk. 2, kræver, at en databehandler med en generel godkendelse underretter kunden om tilføjelse eller udskiftning af underdatabehandlere, så kunden kan gøre indsigelse.

I praksis kommer underretningen som en mail eller en besked i administrationsportalen. Microsoft oplyser i den nævnte liste, at administratorer af Microsoft 365 og Dynamics 365 i EØS og Storbritannien får automatiske meddelelser om opdateringer i Service Message Center. Azure-kunder skal selv tilmelde sig.

Fristerne kan være korte, og varslet kan lande i en postkasse, som ingen læser. Aftal derfor, hvem der modtager og vurderer varslerne, og hvor hurtigt.

Regler, der kræver overblik over kæden

NIS2-direktivets artikel 21, stk. 2, litra d, nævner forsyningskædesikkerhed som en af de foranstaltninger, omfattede enheder skal have. Stk. 3 kræver, at enhederne tager højde for sårbarhederne hos hver direkte leverandør og tjenesteudbyder. Hvordan det hænger sammen med jurisdiktion, beskrives i → NIS2 og jurisdiktion i leverandørstyringen.

For finansielle virksomheder går DORA længere. Forordning 2022/2554, der gælder fra 17. januar 2025, kræver i artikel 28, stk. 3, et register over alle aftaler om IKT-tjenester fra tredjepartsudbydere.

Kommissionens gennemførelsesforordning 2024/2956 fastlægger skabelonerne. Hver udbyder i kæden får et rangnummer, hvor den direkte leverandør altid er nummer 1 og underleverandører har højere numre. Modellen kan bruges som skabelon af alle, også uden for finanssektoren.

Når den danske leverandør flytter sin infrastruktur

Kæden kan ændre sig, uden at kontrakten med jeres leverandør gør. Et dansk eksempel er gennemgået i → Rigspolitiet: fra X til Ritzau, hvor spørgsmålet var, hvilken infrastruktur der lå under den danske platform.

Hvad leverandørerne selv angiver som undtagelser fra EU-lagring, er samlet i → EU-lagring med undtagelser. Begge dele viser, at listen skal læses igen ved hver ændring, også længe efter indkøbet.

Typiske fejl

  • Kun hovedleverandøren noteres · underleverandører til hosting, support og overvågning falder ud af billedet.
  • Adressen tages for ejerskab · et selskab i Dublin eller Luxembourg kan være datterselskab af en koncern uden for EU.
  • Hele listen noteres ukritisk · lister dækker ofte mange produkter, og kun nogle selskaber gælder for netop jeres brug.
  • Tilvalg overses · en funktion, der slås til senere, kan bringe nye underleverandører ind.
  • Varslerne læses ikke · en ændring, der ikke gøres indsigelse mod, regnes typisk som accepteret.
  • Listen tages for hele kæden · listerne handler om behandling af personoplysninger. TeamViewers liste beskriver netop de selskaber, der kan behandle kundens personoplysninger. Andre data og andre afhængigheder kan følge andre veje.
  • Ejerskabet tjekkes kun én gang · en underleverandør kan blive opkøbt, se → Ejerskab skifter.

Hvad trinnet kan og ikke kan vise

Trinnet viser, hvilke selskaber der ud over kontraktparten behandler data, i hvilken rolle og i hvilke lande. Sammen med Trin 2 giver det et billede af, hvilke koncerner og retssystemer en tjeneste reelt hviler på.

Trinnet viser ikke, om listen er fuldstændig, eller hvad der sker længere nede i kæden end leverandøren oplyser. Det viser heller ikke, om et bestemt selskab vil blive mødt med et krav fra en myndighed. Listen er leverandørens egen oplysning, og den bør behandles sådan, med kilde og dato.

Tjekliste

  • ☐ Listen over underleverandører er fundet for hver vigtig tjeneste, med version og dato.
  • ☐ Kun de selskaber, der gælder for jeres produkter og funktioner, er noteret.
  • ☐ Hvert selskab har navn, land og opgave.
  • ☐ Moderselskabet er fundet for selskaber med adresse i EU.
  • ☐ Underleverandører knyttet til tilvalgsmoduler er markeret.
  • ☐ En fælles postkasse modtager varsler om ændringer.
  • ☐ Det er aftalt, hvem der vurderer varslerne og inden for hvilken frist.
  • ☐ Leverandører uden offentlig liste er spurgt skriftligt.

Næste trin

Med kæden kortlagt vurderes det for hvert system, hvem der kan lukke adgangen, se indholdet eller ændre funktionen, i → Trin 4: Vurder afhængigheden.

Er der mange leverandører med lange kæder eller hyppige ændringer, kan en uvildig gennemgang spare tid. Nielco IT’s jurisdiktions- og afhængighedsvurdering omfatter blandt andet underdatabehandlerne bag hver tjeneste og bruges også i NIS2-leverandørstyringen.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026