Vi bruger cookies

Vi bruger nødvendige cookies til at få hjemmesiden til at fungere. Med dit samtykke bruger vi også cookies til statistik, præferencer og eventuel markedsføring. Du kan acceptere alle, afvise ikke-nødvendige cookies eller tilpasse dit valg.

Cookiepolitik Privatlivspolitik

KHALEGI DIGITAL

DIGITALISERING I PRAKSIS

FAQ

Velkommen til KHALEGI DIGITAL FAQ

FAQ’en samler mine erfaringer, observationer og spørgsmål inden for IT, teknologi, indkøb, kontrakter og rådgivning.

Brug søgefeltet til at søge efter konkrete spørgsmål eller nøgleord. Du kan også indsnævre resultaterne ved at filtrere på hovedområde, emne og målgruppe, så det bliver lettere at finde de svar, der er relevante for din situation.

FAQ’en indeholder aktuelt 200 spørgsmål og svar fordelt på ni hovedområder:

  • Cloud: Cloudstrategi og udbud, pris og økonomi, governance og compliance, service level agreements (SLA), leverandørvalg samt forandring og exit-strategi.
  • IT-udbud: Strategi, leverandørskifte, evaluering, kontrakt, governance, compliance og konkurrence i forbindelse med IT-udbud.
  • IT-sikkerhed: NIS2 og øvrige krav, lovgivning og certificering, data og lokation, internationale overførsler, myndigheder og roller, kravspecifikationer, kontraktforhold, dokumentation, standarder, governance og modenhed.
  • IT-kontrakter: Procedure og evaluering, krav og specifikationer, kontraktændringer, økonomi og forhandling, kontrakthåndtering samt compliance og samfundsansvar.
  • IT-strategi: Strategiske valg og prioritering, gennemførelse af strategien, portefølje- og produktansvar samt cloud, data og sikkerhed.
  • Ledelsesrådgivning: Ledelsesbeslutninger og mandat, gevinstrealisering og samarbejde, forankring og rådgivning samt beredskab og ledelsesstyring.
  • Analyser: Behov og datagrundlag, analysemetoder og beslutningsstøtte, alternativer og økonomi samt analyseleverancer og opfølgning.
  • Bid management: Tilbudsbeslutninger og strategi, tilbudsteam og dokumentation, tilbudsleverance og kvalitet samt læring og tilbudsstyring.
  • Market entry: Markedsvalg og kunder, markedstest og pipeline, adgang og lokal levering samt markedsstyring og skalering.

FAQ’en er lavet som et praktisk opslagsværk og bliver løbende udbygget og opdateret med nye spørgsmål, svar og emner.

Hvis du har forslag til nye spørgsmål eller emner, er du velkommen til at kontakte mig.

Nulstil

80 svar fundet · side 1 af 7

Hvad betyder et ejerskifte hos en offentlig IT-leverandør?

Et ejerskifte er ikke nødvendigvis det samme som udskiftning af kontraktens leverandør. Undersøg, hvilken juridisk enhed der fortsat er part, og om ændringen påvirker kontrakten, kvalifikationerne eller leverancens sikkerhed.

Ved egentlig leverandørudskiftning kan blandt andet udbudslovens § 182 være relevant, men betingelserne skal vurderes konkret. Gennemgå også kontraktens meddelelsespligt, eventuelle kontrolskifteklausuler, underleverancer og databehandling. Opdatér kontakt- og beredskabsoplysninger. En kommerciel meddelelse om fusion er ikke i sig selv tilstrækkelig dokumentation for, at alle kontraktlige og udbudsretlige forhold er håndteret.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvad betyder GDPR ved valg mellem egen drift og cloud?

GDPR gælder efter behandlingens karakter, ikke efter om serveren står hos kunden eller i cloud. Valget ændrer blandt andet rollefordeling, adgangsforhold, leverandørkæde og eventuelle overførsler til tredjelande.

Kortlæg personoplysninger, formål og aktører i begge scenarier. Vurder sikkerhed, databehandleraftaler, sletning, registreredes rettigheder og behovet for konsekvensanalyse. I cloud skal support, logdata og underdatabehandlere indgå i kortlægningen. Egen drift fjerner heller ikke behovet for styring og dokumentation. Beslutningen bør bygge på konkrete dataforløb og kontroller, ikke en generel antagelse om, at én driftsmodel altid er lovligst.

Kilder og faglig baggrund: Datatilsynet: Cloud · Datatilsynet: Dataansvarlig og databehandler

Hvad betyder gennemsigtighed i en offentlig IT-kontraktproces?

Gennemsigtighed betyder blandt andet, at konkurrencens vilkår og ordregiverens fremgangsmåde skal være forståelige og kunne efterprøves. Det handler både om materialets klarhed og om dokumentationen for de beslutninger, der træffes undervejs.

Brug entydige begreber på tværs af krav, evaluering og kontrakt. Kommunikér relevante ændringer gennem den fastlagte kanal, og bevar beslutningsgrundlag og begrundelser. Gennemsigtighed betyder ikke, at alle fortrolige oplysninger skal offentliggøres. Afvej derfor dokumentationsbehov og informationsdeling efter de gældende regler om fortrolighed og aktindsigt, frem for at love generel hemmeligholdelse eller fuld åbenhed.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvad betyder Schrems II for brug af internationale cloudtjenester?

Schrems II er fortsat relevant for vurdering af tredjelandsoverførsler, men betyder ikke, at alle amerikanske cloudtjenester automatisk er ulovlige. Den konkrete behandling, modtager, adgang og det aktuelle overførselsgrundlag skal undersøges.

Kortlæg planlagte overførsler og adskil dem fra risikoen for handlinger i strid med instruksen. Undersøg eksempelvis gyldig tilstrækkelighedsafgørelse eller standardkontraktbestemmelser og de vurderinger, der hører til det anvendte grundlag. Datatilsynets vejledning og afgørelse fra januar 2026 bør inddrages ved relevante kontraktvilkår. En risikovurdering kan ikke erstatte et nødvendigt retligt overførselsgrundlag.

Kilder og faglig baggrund: Datatilsynet: Tredjelandsoverførsler · Datatilsynet: Vilkår om tredjelandsoverførsler, januar 2026

Hvad betyder suveræn cloud i et konkret IT-indkøb?

Suveræn cloud er ikke i sig selv en garanti for lovlighed eller fuld kontrol. Begrebet kan dække dataplacering, ejerskab, driftsadgang, krypteringsnøgler og afhængighed af andre jurisdiktioner. Derfor skal betegnelsen oversættes til dokumenterbare krav.

Bed leverandøren beskrive, hvor produktionsdata, backup, logdata og supportoplysninger behandles, hvem der kan få adgang, og hvordan ændringer meddeles. Vurder også mulighederne for selvstændig videreførelse og leverandørskifte. For personoplysninger skal behandlingsgrundlag, databehandlerforhold og eventuelle tredjelandsoverførsler vurderes særskilt; et europæisk datacenter afgør ikke hele spørgsmålet.

Kilder og faglig baggrund: Datatilsynet: Cloud · Datatilsynet: Tredjelandsoverførsler

Hvad bør en IT-kontrakt sige om sikkerhedshændelser?

Kontrakten bør definere, hvilke hændelser leverandøren skal reagere på, hvordan kunden får besked, og hvem der leder indsatsen. Aftalte frister skal give kunden tid til at opfylde eventuelle egne rapporteringspligter.

Beskriv kontaktveje, minimumsoplysninger, løbende opdateringer, bevaring af beviser, afhjælpning og efteranalyse. Adskil leverandørens meddelelse til kunden fra kundens eventuelle myndighedsunderretning. Test forløbet gennem en øvelse med deltagelse fra drift, ledelse og databeskyttelse. NIS 2- og GDPR-forpligtelser kan være forskellige, så en enkelt standardfrist bør ikke bruges som universel løsning.

Kilder og faglig baggrund: SAMSIK: Hændelsesunderretning · Datatilsynet: Cloud

Hvad er forskellen på ISAE 3000 og ISAE 3402?

ISAE 3000 er en standard for andre erklæringsopgaver med sikkerhed end revision eller review af historiske finansielle oplysninger. ISAE 3402 vedrører kontroller hos en serviceorganisation, som er relevante for kunders regnskabsaflæggelse. Standardernes navne alene fortæller derfor ikke, om en bestemt IT-risiko er dækket.

Læs erklæringens emne, kriterier, periode, konklusion, forbehold og kundens egne kontrolforpligtelser. En erklæring om udvalgte kontroller dokumenterer ikke automatisk fuld GDPR- eller NIS 2-overholdelse. Bed en relevant specialist vurdere, om omfanget faktisk matcher den service og de risici, der skal undersøges.

Kilder og faglig baggrund: IAASB: Handbook 2023–2024, bind 3

Hvad er self-cleaning i forbindelse med sikkerhedsproblemer og udbud?

Self-cleaning handler om en virksomheds dokumentation for pålidelighed trods forhold, der kan udløse en udelukkelsesgrund. Udbudslovens § 138 regulerer vurderingen og indeholder krav, som skal anvendes på den konkrete situation.

Dokumentationen bør adressere det bagvedliggende problem og relevante foranstaltninger, ikke blot erklære, at fejlen ikke gentager sig. Ved et sikkerhedsrelateret forløb kan ændret ansvar, forbedrede kontroller og faktisk opfølgning være relevante dele af materialet. Det skal vurderes sammen med lovens øvrige betingelser og gældende proces. En leverandør kan ikke selv erklære sig bindende fritaget for udelukkelse.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvad gør en ordregiver ved mistanke om tilbudskoordinering?

Mistanke om ulovlig tilbudskoordinering skal behandles faktuelt og fortroligt. Ens priser eller få deltagere beviser ikke i sig selv et kartel. Bevar materialet og dokumentér de konkrete observationer, uden at fremsætte udokumenterede beskyldninger.

Inddrag organisationens juridiske ansvarlige og søg vejledning hos Konkurrence- og Forbrugerstyrelsen om videre håndtering. Vurder særskilt eventuelle udbudsretlige konsekvenser på det rette grundlag. Et konsortium kan være lovligt eller problematisk afhængigt af omstændighederne; samarbejdets betegnelse afgør ikke vurderingen. Del ikke konkurrentfølsomme oplysninger mellem tilbudsgivere som led i en uformel undersøgelse.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025 · KFST: Udbud med deltagelse af konsortier

Hvad gør man ved et unormalt lavt IT-tilbud?

En usædvanligt lav pris skal ikke automatisk føre til afvisning. Efter udbudslovens § 169 skal ordregiver anmode om en redegørelse, når et tilbud forekommer unormalt lavt, og vurdere forklaringen efter reglerne.

Undersøg eksempelvis arbejdsomfang, produktivitet, licenser, underleverancer og forudsætninger, som kan forklare prisen. Dokumentér spørgsmål og vurdering, og vær opmærksom på særlige pligter ved overtrædelse af relevante miljø-, social- eller arbejdsretlige forpligtelser. Formålet er at vurdere tilbuddet på et oplyst grundlag, ikke at beskytte dyrere konkurrenter eller indføre en uoffentliggjort mindstepris.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvad gør man, når cloudleverandørens processer ikke passer til ens egen styring?

Begynd med at identificere den konkrete forskel: beslutningshastighed, ændringsvinduer, godkendelser, dokumentation eller ansvar. Forsøg derefter at bygge en tydelig overgang mellem processerne i stedet for at kræve, at begge organisationer arbejder ens.

Aftal eksempelvis, hvordan automatiske platformændringer varsles, hvilke ændringer kunden skal godkende, og hvem der kan acceptere en midlertidig risiko. Afprøv modellen på en almindelig ændring og en akut hændelse. Hvis et kritisk kontrolbehov ikke kan opfyldes, bør servicevalg eller intern proces ændres; et uklart kontraktbilag løser ikke forskellen.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift

Hvad skal en cloud-exitstrategi indeholde?

En exitstrategi skal gøre leverandørskifte eller hjemtagning praktisk gennemførlig. Den bør beskrive data, formater, integrationer, dokumentation, adgangsrettigheder, assistance, tidsplan, priser og sikker sletning hos den afgående leverandør.

Udpeg de dele, der er svære at flytte, og afprøv eksport og gendannelse, mens samarbejdet fungerer. Aftal, hvordan drift fortsætter under overgangen, og hvem der godkender, at data er overført korrekt. En kontraktlig ret til udlevering er ikke tilstrækkelig, hvis data ikke kan anvendes i en anden løsning. Opdatér planen, når arkitektur eller datamængder ændres.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift · Datatilsynet: Cloud