Spørgeskemagenerator til leverandørvurdering af sikkerhed og GDPR for universiteter

Beskriv det værktøj, I skal købe, i syv korte spørgsmål, og få et leverandørspørgeskema, der kun spørger om det, der har betydning for netop det værktøj. Hvert spørgsmål har en begrundelse, en henvisning til lovgivning eller standard og den dokumentation, I bør bede om. Kopiér det, download det som CSV eller Markdown, eller udskriv det.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

Hvad er et spørgeskema til leverandørvurdering af sikkerhed?

Et spørgeskema til leverandørvurdering af sikkerhed er et struktureret sæt spørgsmål, som et universitet sender til en leverandør, før en tjeneste købes eller fornyes. Det spørger, hvordan leverandøren beskytter data, hvilke regler den overholder, og hvilke dokumenter der beviser det. Brugt rigtigt er det et register over dokumentation: Hvert svar peger på en aftalebestemmelse, et certifikat, en rapport eller en liste, som I kan kontrollere.

På et europæisk universitet tjener spørgeskemaet flere personer på én gang. Databeskyttelsesrådgiveren har brug for databehandlervilkårene, underdatabehandlerne og overførslerne efter GDPR. IT-sikkerhed har brug for certifikater, kryptering, adgangsstyring og hændelseshåndtering. Indkøb har brug for vilkår om aftale, ansvar og exit, og i stigende grad skal nogen også vurdere AI-funktioner efter EU's AI-forordning og tilgængelighed efter EN 301 549. Vores guide til leverandørvurdering for universiteter (på engelsk) beskriver hele processen; spørgeskemaet er ét trin i den.

Hvorfor tilpasse spørgeskemaet?

Fordi lange, generiske spørgeskemaer giver dårlige svar. Leverandører, der sælger til mange universiteter, modtager hundredvis af spørgeskemaer om året. Når et regneark med 300 linjer ankommer for et simpelt værktøj uden personoplysninger, bliver svarene ofte kopieret fra et tidligere svar, og de spørgsmål, der betyder noget, forsvinder blandt dem, der ikke gør.

Tilpasning hjælper begge parter:

• Leverandøren besvarer færre spørgsmål, og hvert af dem er tydeligt relevant, så svarene bliver mere konkrete.
• Den, der vurderer, læser færre svar og kan bruge tiden på dokumenterne bag dem.
• Beslutningen er lettere at forsvare, fordi vurderingens dybde svarer til risikoen.

Risikobaseret afgrænsning er også den måde, sektorens spørgeskemaer fungerer på i dag. EDUCAUSE oplyser, at HECVAT 4 begynder med afgrænsningsspørgsmål, der afgør, hvilke spørgsmål der gælder (se vores HECVAT-guide for europæiske universiteter, på engelsk). Flere universiteter skalerer deres proces efter værdi eller data, som eksemplerne nedenfor viser.

Sådan vælger generatoren spørgsmål

Generatoren giver værktøjet en score ud fra jeres indledende svar. Personoplysninger, særlige kategorier af oplysninger, oplysninger om mindreårige, generativ AI, ukendt hosting eller hosting uden for EØS, brede integrationer, NIS2-omfattelse og en høj kontraktværdi lægger hver især point til. Scoren bestemmer et niveau, og hvert spørgsmål i banken har et minimumsniveau og, hvor det er relevant, en udløser.

Udløsere virker uafhængigt af niveauet. Markerer I LTI, får I spørgsmålene om LTI 1.3 og deltagerlister. Bruger værktøjet generativ AI, får I spørgsmålene om træning, modeludbydere, opbevaring af prompts og gennemsigtighed efter artikel 50. Er hostingen uden for EØS eller ukendt, rykker spørgsmålene om overførsler op i det lette niveau. Særlige kategorier af oplysninger og oplysninger om mindreårige giver altid et fuldt spørgeskema.

Resultatet er et udgangspunkt. Slet spørgsmål, der ikke passer, og tilføj jeres egne institutionelle krav, fx nationale regler om sikkerhedsklassifikation eller vilkår i bibliotekslicenser.

Findes der et europæisk alternativ til HECVAT?

HECVAT er stadig nyttig i Europa, men den erstatter ikke de EU-specifikke spørgsmål. HECVAT, der vedligeholdes af EDUCAUSE sammen med Internet2 og REN-ISAC, er et bredt spørgeskema om sikkerhed, privatliv og tilgængelighed, som mange leverandører til videregående uddannelser allerede har udfyldt. EU-retten kræver specifikke dokumenter: en databehandleraftale efter artikel 28, et overførselsgrundlag for hver modtager uden for EØS, en klassificering efter AI-forordningen og en overensstemmelsesrapport efter EN 301 549.

Validemics analyse
Hvis en leverandør sender en nyere HECVAT 4, så acceptér den for de generelle sikkerhedsspørgsmål, og send kun de EU-specifikke områder fra denne generator: GDPR og databehandleraftalen, underdatabehandlere, overførsler, AI og tilgængelighed. Så undgår I at spørge leverandøren om det samme to gange. En Word-version med 77 spørgsmål i 11 afsnit finder I under det europæiske leverandørspørgeskema på vores HECVAT-side.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

Hvordan vurderer I svarene?

Vurdér dokumentationen, ikke svarteksten. Et svar i spørgeskemaet er leverandørens udsagn; beslutningen bør hvile på de dokumenter, det henviser til. Læs hvert svar sammen med dokumentationen, notér mangler, og send én runde opfølgende spørgsmål, før I beslutter.

1. Tjek, at svarene passer til den plan, I køber. Privatlivsvilkår, standardindstillinger for AI-træning og dataplacering er ofte forskellige for gratis planer, uddannelsesplaner og virksomhedsplaner.
2. Læs databehandleraftalen op mod artikel 28, stk. 3. Hvert af punkterne i litra a-h skal stå i aftalen, ikke kun i spørgeskemaet. Vores tjekker til databehandleraftaler holder et udkast op mod hvert punkt.
3. Tjek listen over underdatabehandlere og datastrømmene. EDPB skriver, at dataansvarlige bør have identiteten på alle databehandlere og underdatabehandlere »readily available at all times« (let tilgængelig til enhver tid) (udtalelse 22/2024). Sammenlign listen med svarene om dataplacering og fjernadgang, og brug derefter værktøjet til overførselsgrundlag for hver modtager uden for EØS.
4. Tjek certifikaters omfang og dato. Et ISO/IEC 27001-certifikat eller en SOC 2-rapport har kun betydning, hvis det dækker det produkt og den hosting, I køber, og er gældende.
5. Klassificér AI-funktioner. Brug tjekkeren til AI-forordningen i uddannelse for enhver funktion, der bedømmer, optager, placerer eller overvåger studerende.
6. Afgør, om der skal laves en konsekvensanalyse. Kør screeningen til konsekvensanalyse med det, I har lært.
7. Registrér betingelser. Godkend med betingelser, hvor det er nødvendigt, fx »kun SSO« eller »AI-funktioner slået fra«, og fastsæt en dato for ny gennemgang.

Advarselstegn i leverandørens svar

Validemics analyse
Ingen af disse svar diskvalificerer automatisk. Hvert af dem kræver et opfølgende spørgsmål før godkendelse.

Ikke-godkendte værktøjer springer ofte helt over denne vurdering. Vores guide til skygge-IT og AI-værktøjer på universiteter beskriver, hvordan I får dem ind i processen.

Sådan gennemfører universiteter leverandørvurderinger

Universiteternes offentliggjorte procedurer viser det samme mønster: Vurderingen udløses af data eller systemadgang, dybden afhænger af risiko eller værdi, og den begynder i god tid før aftalen.

• University of Aberdeen (Storbritannien). Universitetets vejledning til medarbejdere fra oktober 2020 bruger kontraktværdien til at vælge fremgangsmåde: »If the total value of your contract is under £10,000, complete the Standard Assessment.« (Er kontraktens samlede værdi under 10.000 GBP, så udfyld standardvurderingen.) Derover bruger den udvidede vurdering den skotske regerings Cyber Security Procurement Support Tool. Vejledningen siger, at man skal regne med omkring fire uger.
• University of Edinburgh (Storbritannien). Universitetets vejledning om cloudtjenester beder medarbejderne kontrollere forhandlede aftaler, lagringssteder og kryptering: »Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit.« (Kontrollér, at enhver cloududbyder, der håndterer data på dine vegne, krypterer dem, både ved lagring og under overførsel.)
• Luleå tekniska universitet (Sverige). Universitetets retningslinjer for informationssikkerhed ved indkøb, der bygger på vejledning fra den svenske myndighed for samfundsberedskab (MSB), kræver krav, der er detaljerede og mulige at evaluere, med angivelse af, »which requirements are mandatory ("must") and which are non-mandatory ("should")« (hvilke krav der er obligatoriske (»skal«), og hvilke der ikke er (»bør«)).
• Montclair State University (USA). Universitetet kræver en sikkerhedsvurdering af cloud- og SaaS-tjenester før køb, fornyelse eller pilotforsøg, accepterer HECVAT 3.x eller nyere og skriver: »Generally, vendor security reviews are valid for two years.« (Leverandørers sikkerhedsvurderinger gælder generelt i to år.)

Generatoren følger samme logik: Det indledende skema bestemmer dybden, og resultatet adskiller, hvad der skal spørges om, fra hvad der skal kontrolleres.

Kilder

Alle kilder er hentet 9. oktober 2026. EU-retsakterne er læst i udgaverne fra EU-Tidende fra Publikationskontoret og linket på EUR-Lex. Citater fra engelsksprogede kilder gengives på engelsk med vores egen danske oversættelse i parentes.

1. Forordning (EU) 2016/679 (databeskyttelsesforordningen), særligt artikel 3, 5, 8, 9, 22, 25, 27, 28, 30, 32-36, 44-49 og 89: eur-lex.europa.eu/eli/reg/2016/679/oj/dan
2. Forordning (EU) 2024/1689 (AI-forordningen), artikel 3, 4, 5, 6, 13-15, 25-27, 50 og 53 og bilag III: eur-lex.europa.eu/eli/reg/2024/1689/oj/dan
3. Forordning (EU) 2026/1744 (den digitale omnibus om AI), der ændrer artikel 4, overgangsreglen for artikel 50 og datoerne i artikel 113: eur-lex.europa.eu/eli/reg/2026/1744/oj/dan
4. Direktiv (EU) 2022/2555 (NIS2), artikel 2, stk. 5, artikel 21 og 23 og bilag I og II: eur-lex.europa.eu/eli/dir/2022/2555/oj/dan
5. Forordning (EU) 2023/2854 (dataforordningen), artikel 25 og 29: eur-lex.europa.eu/eli/reg/2023/2854/oj/dan
6. Forordning (EU) 2024/2847 (forordningen om cyberrobusthed), artikel 14 og 71: eur-lex.europa.eu/eli/reg/2024/2847/oj/dan
7. Direktiv (EU) 2016/2102 (webtilgængelighedsdirektivet), artikel 7: eur-lex.europa.eu/eli/dir/2016/2102/oj/dan
8. Kommissionens gennemførelsesafgørelse (EU) 2021/1339 (offentliggørelse af henvisningen til EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/dan
9. Direktiv 2014/24/EU (offentlige udbud), artikel 4, artikel 42, stk. 1, og artikel 58, stk. 4: eur-lex.europa.eu/eli/dir/2014/24/oj/dan
10. Kommissionens gennemførelsesafgørelse (EU) 2018/1523 (model for tilgængelighedserklæring): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/dan
11. Direktiv 2002/58/EF (e-databeskyttelsesdirektivet), artikel 5, stk. 3, som affattet ved direktiv 2009/136/EF: eur-lex.europa.eu/eli/dir/2009/136/oj/dan
12. Kommissionens gennemførelsesafgørelse (EU) 2021/914 (standardkontraktbestemmelser), klausul 14 og 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/dan
13. Kommissionens gennemførelsesafgørelse (EU) 2023/1795 (EU-US Data Privacy Framework): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/dan
14. EDPB, Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), vedtaget 9. oktober 2024: edpb.europa.eu, Opinion 22/2024
15. EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR: edpb.europa.eu, Guidelines 07/2020
16. EDPB, Recommendations 01/2020 on supplementary measures for transfers, version 2.0, punkt 13 (fjernadgang er en overførsel): edpb.europa.eu, Recommendations 01/2020
17. ENISA, Good Practices for Supply Chain Cybersecurity (13. juni 2023): enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (oplysningerne som sammenfattet i vores HECVAT-guide, kontrolleret 7. oktober 2026)
19. ISO/IEC 27001:2022, Information security management systems: iso.org/standard/27001; ISO/IEC 42001:2023, AI management systems: iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), Accessibility requirements for ICT products and services: etsi.org (PDF)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 og LTI Advantage): 1edtech.org/standards/lti
22. University of Aberdeen, »How to undertake a supplier assessment« (21. oktober 2020): abdn.ac.uk
23. University of Edinburgh, Information Security, »Using cloud services«: infosec.ed.ac.uk
24. Luleå tekniska universitet, »Guidelines for information security in procurement and purchasing« (LTU-2486-2021, 4. december 2023): ltu.se (PDF)
25. Montclair State University, Information Security, »Vendor Assessment (HECVAT)«: inside.montclair.edu

Om denne side

Vi har skrevet spørgsmålsbanken ud fra de retsakter og standarder, der er nævnt ovenfor, læst den 9. oktober 2026, og ud fra universiteters offentliggjorte procedurer. Spørgsmålene er vores egne og er ikke hentet fra HECVAT eller andre licenserede spørgeskemaer. Henvisningerne peger på den bestemmelse, et spørgsmål bygger på; hvor en bestemmelse kun gælder i visse tilfælde (fx højrisiko-AI-systemer eller databehandlingstjenester efter dataforordningen), siger spørgsmålet det. De foreslåede ændringer af GDPR i Kommissionens forslag til en digital omnibus er ikke vedtaget og er ikke afspejlet. Værktøjet er ikke juridisk rådgivning, og universitetet er fortsat ansvarligt for sin egen vurdering. Hvis du finder en fejl eller en henvisning, der er ændret, så kontakt os, så retter vi den.