Vi bruger cookies

Vi bruger nødvendige cookies til at få hjemmesiden til at fungere. Med dit samtykke bruger vi også cookies til statistik, præferencer og eventuel markedsføring. Du kan acceptere alle, afvise ikke-nødvendige cookies eller tilpasse dit valg.

Cookiepolitik Privatlivspolitik

KHALEGI DIGITAL

DIGITALISERING I PRAKSIS

FAQ

Velkommen til KHALEGI DIGITAL FAQ

FAQ’en samler mine erfaringer, observationer og spørgsmål inden for IT, teknologi, indkøb, kontrakter og rådgivning.

Brug søgefeltet til at søge efter konkrete spørgsmål eller nøgleord. Du kan også indsnævre resultaterne ved at filtrere på hovedområde, emne og målgruppe, så det bliver lettere at finde de svar, der er relevante for din situation.

FAQ’en indeholder aktuelt 200 spørgsmål og svar fordelt på ni hovedområder:

  • Cloud: Cloudstrategi og udbud, pris og økonomi, governance og compliance, service level agreements (SLA), leverandørvalg samt forandring og exit-strategi.
  • IT-udbud: Strategi, leverandørskifte, evaluering, kontrakt, governance, compliance og konkurrence i forbindelse med IT-udbud.
  • IT-sikkerhed: NIS2 og øvrige krav, lovgivning og certificering, data og lokation, internationale overførsler, myndigheder og roller, kravspecifikationer, kontraktforhold, dokumentation, standarder, governance og modenhed.
  • IT-kontrakter: Procedure og evaluering, krav og specifikationer, kontraktændringer, økonomi og forhandling, kontrakthåndtering samt compliance og samfundsansvar.
  • IT-strategi: Strategiske valg og prioritering, gennemførelse af strategien, portefølje- og produktansvar samt cloud, data og sikkerhed.
  • Ledelsesrådgivning: Ledelsesbeslutninger og mandat, gevinstrealisering og samarbejde, forankring og rådgivning samt beredskab og ledelsesstyring.
  • Analyser: Behov og datagrundlag, analysemetoder og beslutningsstøtte, alternativer og økonomi samt analyseleverancer og opfølgning.
  • Bid management: Tilbudsbeslutninger og strategi, tilbudsteam og dokumentation, tilbudsleverance og kvalitet samt læring og tilbudsstyring.
  • Market entry: Markedsvalg og kunder, markedstest og pipeline, adgang og lokal levering samt markedsstyring og skalering.

FAQ’en er lavet som et praktisk opslagsværk og bliver løbende udbygget og opdateret med nye spørgsmål, svar og emner.

Hvis du har forslag til nye spørgsmål eller emner, er du velkommen til at kontakte mig.

Nulstil

80 svar fundet · side 4 af 7

Hvordan følges løbende op på sikkerhedskrav i en IT-aftale?

Lav en kontrolplan, der afspejler de største risici og kontraktens forpligtelser. Den bør fastlægge, hvilke beviser der gennemgås, hvem der vurderer dem, og hvornår mangler skal være afhjulpet.

Kombinér periodisk rapportering med kontroller ved væsentlige ændringer, hændelser og nye underleverandører. Følg også op på kundens egne opgaver, eksempelvis adgangsgodkendelser. Registrér åbne forhold og accepterede risici, så samme problem ikke blot genrapporteres måned efter måned. Opfølgningens formål er at forbedre kontrollen og træffe beslutninger, ikke alene at skabe dokumenter til et arkiv.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0 · Digitaliseringsstyrelsen: K04 – IT-drift

Hvordan følges sikkerhed og databeskyttelse gennem en cloudmigration?

Kontrollerne skal følge hele forløbet: forberedelse, dataflytning, parallel drift, overtagelse og nedlukning. Der opstår ofte særlige risici i overgangsperioden, fordi midlertidige konti, kopier og integrationer får adgang til følsomme oplysninger.

Udpeg en ansvarlig for hver kontrol og kræv dokumentation før overgangen til næste fase. Det kan være adgangsgennemgang, gendannelsestest, validering af databehandleraftalen og bekræftet sletning af midlertidige kopier. Bevar en kontrolleret tilbagefaldsplan, indtil den nye drift er accepteret. Afslut migrationen med en restanceliste og ejere af de forhold, der endnu ikke er lukket.

Kilder og faglig baggrund: Datatilsynet: Cloud · NIST: Cybersecurity Framework 2.0

Hvordan forberedes leverandørskifte ved en IT-kontrakts udløb?

Forbered leverandørskiftet i god tid før kontraktens udløb og eventuelle opsigelsesfrister. Den afgående leverandørs bistand, den nye leverandørs modtagelse og kundens beslutninger skal være koordineret i samme plan.

Lav en oversigt over data, dokumentation, integrationer, licenser, udstyr og adgangsrettigheder. Aftal rækkefølge, test, afregning og kriterier for afsluttet overdragelse. Undersøg, om den eksisterende kontrakt faktisk giver de nødvendige rettigheder. Hvis der skal aftales supplerende ydelser under en offentlig kontrakt, skal ændringsreglerne vurderes særskilt. Et sent planlagt skifte øger risikoen for dyre og vanskelige afhængigheder.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift · Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvordan forebygges ulovlige ændringer af en offentlig IT-kontrakt?

Indfør en ændringsproces, som vurderer både forretningsbehov og udbudsret, før arbejdet bestilles. En teknisk ændringsanmodning eller ekstra faktura kan dække en ændring, der kræver en selvstændig juridisk vurdering.

Registrér beskrivelse, pris, årsag, konsekvenser og det påberåbte grundlag i kontrakten eller udbudsloven. Se på sammenhængen med tidligere ændringer, og dokumentér beslutningen. Giv indkøb og jura en tydelig rolle ved væsentlige afvigelser. Ændringsklausuler bør planlægges fra starten; de kan ikke efterfølgende opfindes for at legitimere en ønsket udvidelse.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvordan gennemføres en sikkerhedsrisikovurdering før et IT-udbud?

Tag udgangspunkt i de tjenester, data og brugere, som løsningen skal understøtte. Undersøg, hvad der kan gå galt, hvilke konsekvenser det kan få, og hvilke kontroller der allerede findes. Vurderingen skal være konkret nok til at påvirke krav og beslutninger.

Involvér forretning, drift, sikkerhed og relevante dataansvarlige. Prioritér scenarier som utilgængelighed, uautoriseret adgang og tab af integritet. Beslut behandling, ejer og accepteret restrisiko. Opdatér vurderingen, når løsningsvalg eller leverandørforhold ændres; en indledende workshop er et udgangspunkt, ikke en permanent godkendelse af alle senere løsninger.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0

Hvordan gør man cloudservicemål målbare?

Et servicemål er målbart, når to personer kan anvende samme datagrundlag og nå samme resultat. ”Hurtig support” skal derfor erstattes af definerede tidsfrister og hændelseskategorier, mens oppetid skal have et klart målepunkt.

Beskriv start og stop for hver tidsmåling, håndtering af ventetid og beregning ved delvise udfald. Aftal adgang til underliggende måledata og en proces for at rette fejl i rapporteringen. Afprøv beregningen før driftsstart. Hvis kunden kun ser et grønt dashboard uden forklaring eller rådata, er grundlaget for kontraktopfølgning svagt.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift

Hvordan gøres IT-krav kontraktuelt anvendelige?

Et krav bør beskrive en entydig forpligtelse, et tidspunkt og en måde at kontrollere opfyldelsen på. Uklare formuleringer som ”løsningen bør være fleksibel” giver et svagt grundlag for både tilbud og kontraktopfølgning.

Angiv, hvem der leverer hvad, hvilke forudsætninger der gælder, og hvordan kunden accepterer resultatet. Hold obligatoriske krav adskilt fra ønsker og fremtidige muligheder. Kontrollér, at tilbudsbesvarelser, bilag og dokumentrangorden ikke ændrer betydningen utilsigtet. Vælg et passende detaljeringsniveau: En meget lang kravliste er ikke stærkere, hvis ingen kan teste eller vedligeholde den.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift · Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvordan håndteres leverandørens standardvilkår i et offentligt udbud?

Udbudsmaterialet bør tydeligt fastlægge, om og hvordan standardvilkår kan indgå. Ellers kan et tilbud indeholde modstridende regler om eksempelvis ansvar, databehandling, opsigelse og prisændringer. En generel dokumentrangorden løser ikke nødvendigvis alle konflikter.

Kortlæg standardvilkår under forberedelsen og afgør, hvilke forhold der skal reguleres særskilt. Beskriv den tilladte håndtering i udbudsmaterialet. Hvis et tilbud fraviger materialet, skal ordregiver vurdere konsekvensen efter udbudsreglerne; et forbehold kan ikke uden videre forhandles væk. Leverandøren bør tilsvarende kontrollere, at bilag og links ikke indfører utilsigtede forbehold.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvordan håndteres misligholdelse af en IT-kontrakt?

Start med at fastlægge den konkrete forpligtelse, afvigelsen og dens konsekvens. Følg derefter kontraktens regler om meddelelse, afhjælpning og eskalation. Reaktionen skal bygge på dokumenterede forhold, ikke alene en generel oplevelse af dårlig service.

Bevar hændelsesforløb, målinger og korrespondance. Afklar kundens egen medvirken og relevante frister, og vurder juridisk grundlaget før større sanktioner eller ophævelse. Samtidig skal driften beskyttes gennem en praktisk plan. En alvorlig uenighed om ansvar bør ikke forhindre parterne i at begrænse skaden, men nødvendige forbehold skal håndteres tydeligt.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift

Hvordan håndteres NIS 2-risici i IT-leverandørkæden?

Styring af leverandørkæden kræver overblik over de leverandører og afhængigheder, som kan påvirke organisationens tjenester. Fokus bør være på den konkrete risiko og relevante sikkerhedsforanstaltninger, ikke kun på at indsamle ens spørgeskemaer fra alle.

Opdel leverandører efter kritikalitet og undersøg adgang, data, driftsafhængighed og muligheder for substitution. Aftal rapportering, hændelsessamarbejde og kontrol for de vigtigste relationer. Følg op på mangler med ansvar og frister. En underleverandørs certificering kan være nyttig dokumentation, men organisationen skal fortsat vurdere, om dens egen risiko er tilstrækkeligt håndteret.

Kilder og faglig baggrund: SAMSIK: NIS 2 · NIST: Cybersecurity Framework 2.0

Hvordan håndteres utilfredshed med den nuværende IT-leverandør ved et nyt udbud?

Skeln mellem håndtering af den eksisterende kontrakt og gennemførelse af det nye udbud. Utilfredshed er ikke i sig selv grundlag for at udelukke en tilbudsgiver. En eventuel udelukkelse kræver et relevant retsgrundlag og en konkret, dokumenteret vurdering.

Registrér hændelser, aftalte serviceniveauer og leverandørens reaktioner. Brug erfaringerne til at forbedre behov, krav og kontraktstyring uden at skræddersy konkurrencen mod en bestemt virksomhed. Giv samtidig alle tilbudsgivere et retvisende billede af overtagelsesopgaven. Vurder særskilt eventuelle udelukkelsesgrunde, proportionalitet og dokumentation for pålidelighed.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025

Hvordan kan ENISA-materiale bruges i et IT-udbud?

ENISA udgiver faglige analyser og vejledning om cybersikkerhed. Materialet kan understøtte risikovurdering og kravarbejde, men skal vælges efter emne, dato og anvendelsesområde. En generel henvisning til ”ENISA-krav” er normalt for uklar.

Udpeg det konkrete dokument og omsæt relevante anbefalinger til afgrænsede krav med dokumentation og test. Kontrollér, om materialet er vejledende, eller om en bindende regel henviser til bestemte krav. Skeln også mellem organisationens risikoanalyse og leverandørens beviser. ENISA-materiale erstatter ikke automatisk dansk lovgivning, sektorvejledning eller en konkret vurdering af den tilbudte løsning.

Kilder og faglig baggrund: ENISA: NIS2 Technical Implementation Guidance