ISAE 3000-IT-sikkerhedserklæring er et krav i SKI-rammeaftaler

I de gældende rammeaftaler stiller Statens og Kommunernes Indkøbsservice (SKI) krav om, at leverandører, hvis medarbejdere har adgang til kundens systemer eller data – fysisk eller via fjernadgang – kan dokumentere deres sikkerhedsforanstaltninger.
 

Krav til Type 1 og Type 2-erklæringer

Hvis I er omfattet af kravet, skal der udarbejdes:

• En ISAE 3000 Type 1-erklæring senest tre måneder efter rammeaftalens ikrafttrædelse
• En ISAE 3000 Type 2-erklæring herefter årligt, som dokumenterer den faktiske efterlevelse af sikkerhedskontrollerne over tid

Erklæringen kan være dateret før rammeaftalens ikrafttrædelse, forudsat at den dokumenterer, at de relevante kontroller og procedurer er implementeret i overensstemmelse med Bilag B.3 (Sikkerhedskrav).
 

Bilag B.3 fastlægger sikkerhedsniveau og dokumentationskrav

Jeres sikkerhedsniveau fastlægges på baggrund af en konkret vurdering af bl.a.:

• Hvilken adgang jeres medarbejdere har (fysisk og systemmæssig)
• Hvilke datatyper der behandles (almindelige, følsomme eller forretningskritiske)
• Om der er tale om samfundskritiske systemer

På baggrund heraf placeres I i én af tre sikkerhedspakker (1–3). I visse tilfælde suppleres med tillægspakker som f.eks. BYOD, Fjernadgang, Udvikling eller Projekt.

Det valgte niveau afgør, hvilke kontrolpunkter der skal være implementeret – og dokumenteret – i ISAE 3000-erklæringen.
 

Manglende erklæring kan udgøre kontraktmislighold

Manglende eller forsinket fremsendelse af den krævede revisionserklæring anses som mislighold af rammeaftalen. Det kan give SKI grundlag for at udstede påkrav og fastsætte frister for udbedring.

Hvis misligholdelsen ikke afhjælpes rettidigt, kan rammeaftalen give SKI mulighed for at pålægge en dagbod, som i udgangspunktet udgør 3.000 kr. pr. arbejdsdag, dog maksimalt 100.000 kr. pr. tilfælde.

Hvis en Type 2-erklæring dokumenterer manglende efterlevelse af kravene, kan SKI tilsvarende udstede påkrav og fastsætte en frist for udbedring. Overholdes denne ikke, kan dagboden forhøjes til 5.000 kr. pr. arbejdsdag.
 

Hvad bør I gøre nu?

Hvis I leverer IT-ydelser under SKI-rammeaftaler, kan det være en fordel tidligt at:

• Afklare hvilket sikkerhedsniveau der gælder efter Bilag B.3
• Sikre, at relevante kontroller og processer er implementeret og dokumenteret
• Planlægge arbejdet med ISAE 3000-erklæringer, så krav og frister kan håndteres rettidigt

En rettidig afklaring og struktureret tilgang kan bidrage til at reducere risikoen for både kontraktmæssige udfordringer og driftsmæssige konsekvenser i samarbejdet med offentlige kunder.
 

Cedra kan hjælpe jer sikkert videre

Hos Cedra rådgiver vi om, hvilken erklæringstype der er relevant, og hvordan kravene i rammeaftaler og regulering omsættes til praksis hos jer.

Vi kan desuden bistå med udarbejdelse af ISAE-erklæringer, så dokumentationen lever op til gældende krav – herunder ISAE 3000 Type 1 og Type 2.

En tidlig afklaring kan give overblik over omfang, tidsplan og ansvar – og reducere risikoen for både forsinkelser og sanktioner.