Spørreskjema til leverandører om sikkerhet og GDPR for universiteter og høyskoler
Beskriv verktøyet dere skal kjøpe, med sju korte spørsmål, og få et spørreskjema til leverandøren som bare spør om det som er relevant. Hvert spørsmål har en begrunnelse, en henvisning til regelverk eller standard og hvilken dokumentasjon dere bør be om. Kopier det, last det ned som CSV eller Markdown, eller skriv det ut.
Finnes også på: English · Svenska · Nederlands · Suomi · Dansk · Français · Español · Português
Kort fortalt
- Verktøyet nedenfor gjør sju innledende spørsmål om til et spørreskjema til leverandøren, hentet fra en bank med 90 spørsmål: rundt 20 spørsmål for et enkelt verktøy, 35 til 50 for en vanlig tjeneste med studentopplysninger eller KI, og 70 eller flere for en høyrisikoplattform.
- Spørsmålene er gruppert i ti områder: selskap og avtale, GDPR og databehandleravtalen, underdatabehandlere, overføringer, sikkerhet, KI og KI-forordningen, universell utforming, datalivsløp, integrasjon samt leverandørkjede og NIS2.
- Hvert spørsmål viser hvorfor det stilles, henvisningen til regelverk eller standard (for eksempel GDPR art. 28 nr. 3 bokstav d) og hvilken dokumentasjon dere bør be om.
- Et risikonivå (lett, standard eller full) bestemmer dybden, slik at et verktøy med lav risiko får et kort spørreskjema og et med høy risiko får hele settet.
- Eksporter til CSV for Excel, Markdown eller utskrift. Alt kjører i nettleseren din.
Kjører helt i nettleseren din. Ingenting du skriver eller krysser av, lagres eller sendes noe sted.
Å samle inn svar er den enkle delen. I Validemic får leverandøren én lenke, svarer og laster opp dokumentasjon, og dere får en rapport der hver vurdering er kildebelagt opp mot GDPR, KI-forordningen og institusjonens egne retningslinjer.
Innhold
- Hva er et spørreskjema om informasjonssikkerhet til leverandører?
- Hvorfor tilpasse spørreskjemaet?
- Slik velger verktøyet spørsmål
- Finnes det et europeisk alternativ til HECVAT?
- Hvordan vurderer dere svarene?
- Varselsignaler i leverandørenes svar
- Slik gjennomfører universiteter leverandørvurderinger
- Kilder
- Om denne siden
Hva er et spørreskjema om informasjonssikkerhet til leverandører?
Et slikt spørreskjema er et strukturert sett med spørsmål som en institusjon sender til en leverandør før en tjeneste kjøpes eller fornyes. Det spør hvordan leverandøren beskytter data, hvilke regler den oppfyller og hvilke dokumenter som viser det. Brukt riktig er det en innholdsfortegnelse over dokumentasjonen: hvert svar peker til en avtaleklausul, et sertifikat, en rapport eller en liste dere kan kontrollere.
Ved et europeisk universitet eller en høyskole tjener spørreskjemaet flere personer samtidig. Personvernombudet trenger databehandlervilkårene, underdatabehandlerne og overføringene etter GDPR. IT-sikkerhet trenger sertifikater, kryptering, tilgangsstyring og hendelseshåndtering. Innkjøp trenger vilkår om avtale, ansvar og exit, og i økende grad må noen kontrollere KI-funksjoner opp mot KI-forordningen og universell utforming opp mot EN 301 549. Vår guide til leverandørvurdering for universiteter (på engelsk) beskriver hele prosessen; spørreskjemaet er ett steg i den.
Hvorfor tilpasse spørreskjemaet?
Fordi lange, generelle spørreskjemaer gir dårlige svar. Leverandører som selger til mange universiteter, mottar hundrevis av spørreskjemaer i året. Når et regneark på 300 linjer kommer inn for et enkelt verktøy uten personopplysninger, blir svarene ofte kopiert fra et tidligere svar, og de viktige spørsmålene drukner blant dem som ikke er relevante.
Tilpasning hjelper begge parter:
- Leverandøren svarer på færre spørsmål, og hvert av dem er tydelig relevant, så svarene blir mer konkrete.
- Den som vurderer leser færre svar og kan bruke tiden på dokumentene bak dem.
- Beslutningen blir lettere å forsvare, fordi dybden i vurderingen står i forhold til risikoen.
Risikobasert avgrensning er også slik sektorens spørreskjemaer fungerer i dag. EDUCAUSE skriver at HECVAT 4 starter med avgrensningsspørsmål som avgjør hvilke spørsmål som gjelder (se vår HECVAT-guide for europeiske universiteter). Flere universiteter skalerer prosessen etter verdi eller data, som eksemplene nedenfor viser.
Slik velger verktøyet spørsmål
Verktøyet gir tjenesten en poengsum ut fra svarene på de innledende spørsmålene. Personopplysninger, særlige kategorier, opplysninger om mindreårige, generativ KI, ukjent drift eller drift utenfor EØS, omfattende integrasjoner, NIS2 og høy kontraktsverdi gir hver for seg poeng. Poengsummen bestemmer et nivå, og hvert spørsmål i banken har et minimumsnivå og, der det er relevant, en utløser.
| Nivå | Typisk verktøy | Hva det omfatter |
|---|---|---|
| Lett | Et verktøy med lav verdi og lite eller ingen personopplysninger, driftet i EØS, uten KI | Grunnleggende spørsmål om avtale, sikkerhet og universell utforming, og de grunnleggende GDPR-punktene hvis det finnes personopplysninger |
| Standard | En tjeneste med opplysninger om ansatte eller studenter, SSO eller integrasjon med læringsplattformen, eller KI-funksjoner | Legger til de øvrige punktene i artikkel 28 nr. 3, tilgangsstyring, logging, sårbarhetshåndtering, hendelseshåndtering og exit |
| Full | Særlige kategorier, mindreårige, generativ KI på studentopplysninger, ukjent drift eller en anskaffelse med høy verdi | Legger til vurderinger av overføringer (TIA), sikker utvikling, personellsikkerhet, styring av KI og spørsmål om leverandørkjeden |
Utløserne virker uavhengig av nivået. Krysser dere av for LTI, får dere spørsmålene om LTI 1.3 og deltakerlister. Bruker verktøyet generativ KI, får dere spørsmålene om trening, modelltilbydere, lagring av prompter og åpenhet etter artikkel 50. Er driften utenfor EØS eller ukjent, flyttes overføringsspørsmålene ned til det lette nivået. Særlige kategorier og opplysninger om mindreårige gir alltid et fullt spørreskjema.
Resultatet er et utgangspunkt. Slett spørsmål som ikke passer, og legg til institusjonens egne krav, som nasjonale regler for sikkerhetsklassifisering eller vilkår i bibliotekets lisensavtaler.
Finnes det et europeisk alternativ til HECVAT?
HECVAT er fortsatt nyttig i Europa, men erstatter ikke de EU-spesifikke spørsmålene. HECVAT, som vedlikeholdes av EDUCAUSE sammen med Internet2 og REN-ISAC, er et bredt spørreskjema om sikkerhet, personvern og universell utforming som mange leverandører til høyere utdanning allerede har fylt ut. Europeisk regelverk krever bestemte dokumenter: en databehandleravtale etter artikkel 28, et overføringsgrunnlag for hver mottaker utenfor EØS, en klassifisering etter KI-forordningen og en samsvarsrapport etter EN 301 549.
| Tema | HECVAT 4 | Dette verktøyet |
|---|---|---|
| Omfang | Én fil med avgrensningsspørsmål; en kortere «lite»-visning med de kritiske spørsmålene | Tilpasset utvalg fra en bank med 90 spørsmål, valgt ut fra sju innledende svar |
| Rettslig forankring | Skrevet for høyere utdanning generelt, med amerikansk opprinnelse | GDPR, KI-forordningen, NIS2, dataforordningen, webtilgjengelighetsdirektivet, Cyber Resilience Act |
| Dokumentasjon | Svar i et regneark, poengsatt av institusjonen | Hvert spørsmål angir hvilken dokumentasjon dere bør be om |
| Lisens | Gratis for høyskoler, universiteter og deres leverandører; eies av EDUCAUSE | Gratis; skrevet fra bunnen av, ikke avledet av HECVAT |
Validemics analyse
Sender en leverandør en nylig HECVAT 4, godta den for de generelle sikkerhetsspørsmålene og send bare de EU-spesifikke områdene fra dette verktøyet: GDPR og databehandleravtalen, underdatabehandlere, overføringer, KI og universell utforming. Da slipper dere å spørre leverandøren om det samme to ganger. En Word-versjon med 77 spørsmål i 11 deler finner dere under European vendor questionnaire på vår HECVAT-side (på engelsk).
Vurderer du en leverandør akkurat nå? Validemic går gjennom leverandørens dokumenter opp mot GDPR og KI-forordningen og oppgir kilde for hver vurdering. Prøv demomiljøet
Hvordan vurderer dere svarene?
Vurder dokumentasjonen, ikke svarteksten. Et svar i spørreskjemaet er leverandørens påstand; beslutningen bør bygge på dokumentene det viser til. Les hvert svar sammen med dokumentasjonen, noter mangler og send én runde med oppfølgingsspørsmål før dere beslutter.
- Kontroller at svarene gjelder abonnementet dere kjøper. Personvernvilkår, standardinnstillinger for KI-trening og lagringssted er ofte forskjellige for gratis-, utdannings- og bedriftsabonnementer.
- Les databehandleravtalen opp mot artikkel 28 nr. 3. Hver av bokstav a til h må stå i avtalen, ikke bare i spørreskjemaet. Vår sjekker for databehandleravtaler sammenholder et utkast punkt for punkt, og vi har en norsk mal for databehandleravtale.
- Kontroller listen over underdatabehandlere og dataflytene. Personvernrådet (EDPB) sier at behandlingsansvarlige bør ha identiteten til alle databehandlere og underdatabehandlere «readily available at all times» (lett tilgjengelig til enhver tid) (uttalelse 22/2024). Sammenhold listen med svarene om lagringssteder og fjerntilgang, og bruk deretter verktøyet for overføringsgrunnlag for hver mottaker utenfor EØS.
- Kontroller omfang og dato for sertifikater. Et ISO/IEC 27001-sertifikat eller en SOC 2-rapport betyr bare noe hvis den dekker produktet og driften dere kjøper, og er gyldig.
- Klassifiser KI-funksjonene. Bruk sjekkeren for KI-forordningen i utdanning for alle funksjoner som setter karakterer, avgjør opptak, plasserer eller overvåker studenter.
- Avgjør om det trengs DPIA. Kjør DPIA-screeningen med det dere har funnet ut, eller bruk den norske DPIA-malen.
- Dokumenter vilkår. Godkjenn med vilkår der det trengs, for eksempel «bare SSO» eller «KI-funksjoner slått av», og sett en dato for ny vurdering.
Varselsignaler i leverandørenes svar
Validemics analyse
Ingen av disse svarene diskvalifiserer automatisk. Hvert av dem krever et oppfølgingsspørsmål før godkjenning.
| Svarmønster | Hvorfor det er viktig | Oppfølging |
|---|---|---|
| «Vi er fullt ut GDPR-kompatible» uten dokumentasjon | Etterlevelse avhenger av avtale, konfigurasjon og bruk | Be om klausulen i databehandleravtalen og rolleangivelsen |
| Data lagres i EU, men tilgangslokasjoner er ikke oppgitt | Personvernrådet regner fjerntilgang fra et tredjeland som overføring | Spør hvor support- og utviklingspersonell får tilgang til data fra |
| Liste over underdatabehandlere «tilgjengelig på forespørsel» | Dere trenger identitetene nå og varsel om endringer senere | Be om gjeldende liste og hvordan endringer varsles |
| Kundedata «kan brukes til å forbedre tjenestene våre» | Dette kan omfatte KI-trening og gjør leverandøren til behandlingsansvarlig for den bruken | Be om en avtalefestet forpliktelse for deres abonnement |
| «Vi varsler brudd innen 72 timer» | 72 timer er fristen for den behandlingsansvarlige; databehandleren skal varsle uten ugrunnet opphold | Be om en kortere forpliktelse, for eksempel 24 eller 48 timer |
| Sertifikat uten omfang, eller en utløpt SOC 2-periode | Det dekker kanskje ikke produktet, driften eller dagens situasjon | Be om omfangserklæringen og siste rapport |
| Universell utforming: «WCAG-kompatibel» uten rapport | En påstand uten testmetode og dato kan ikke kontrolleres | Be om en samsvarsrapport etter EN 301 549 V3.2.1 |
| Nettleserutvidelse ber om å lese alle nettsteder | Den kan se e-post, læringsplattformen og studentopplysninger | Spør om tillatelsene kan begrenses med administratorpolicy |
Ikke-godkjente verktøy hopper ofte helt over denne vurderingen. Vår guide om skygge-IT og KI-verktøy ved universiteter og høyskoler viser hvordan dere får dem inn i prosessen.
Slik gjennomfører universiteter leverandørvurderinger
Publiserte rutiner fra universiteter viser det samme mønsteret: vurderingen utløses av data eller systemtilgang, dybden avhenger av risiko eller verdi, og den starter i god tid før avtalen inngås.
- University of Aberdeen (Storbritannia). Veiledningen til ansatte fra oktober 2020 bruker kontraktsverdi til å velge vei: «If the total value of your contract is under £10,000, complete the Standard Assessment» (er den samlede kontraktsverdien under 10 000 pund, fyll ut standardvurderingen). Over dette bruker den utvidede vurderingen den skotske regjeringens Cyber Security Procurement Support Tool. Veiledningen sier at man bør beregne rundt fire uker.
- University of Edinburgh (Storbritannia). Veiledningen om skytjenester ber ansatte kontrollere forhandlede avtaler, lagringssteder og kryptering: «Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit» (kontroller at enhver skyleverandør som behandler data på dine vegne, krypterer dem både ved lagring og under overføring).
- Luleå tekniska universitet (Sverige). Retningslinjene for informasjonssikkerhet i anskaffelser, basert på veiledning fra det svenske beredskapsorganet MSB, krever krav som er detaljerte og mulige å evaluere, og skal angi «which requirements are mandatory ("must") and which are non-mandatory ("should")» (hvilke krav som er obligatoriske («skal») og hvilke som ikke er det («bør»)).
- Montclair State University (USA). Universitetet krever sikkerhetsvurdering av sky- og SaaS-tjenester før kjøp, fornyelse eller pilot, godtar HECVAT 3.x eller nyere og sier at «Generally, vendor security reviews are valid for two years» (sikkerhetsvurderinger av leverandører gjelder som regel i to år).
Verktøyet følger samme logikk: de innledende spørsmålene bestemmer dybden, og resultatet skiller mellom hva dere skal spørre om og hva dere skal kontrollere.
Kilder
Alle kilder er hentet 9. oktober 2026. EU-rettsaktene er lest i versjonene i Den europeiske unions tidende fra EUs publikasjonskontor og lenket på EUR-Lex. Norske oversettelser av sitater i parentes er våre egne.
- Forordning (EU) 2016/679 (GDPR), særlig artikkel 3, 5, 8, 9, 22, 25, 27, 28, 30, 32 til 36, 44 til 49 og 89: eur-lex.europa.eu/eli/reg/2016/679/oj/eng
- Forordning (EU) 2024/1689 (KI-forordningen), artikkel 3, 4, 5, 6, 13 til 15, 25 til 27, 50 og 53 og vedlegg III: eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
- Forordning (EU) 2026/1744 (Digital Omnibus on AI), som endrer artikkel 4, overgangsregelen for artikkel 50 og datoene i artikkel 113: eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
- Direktiv (EU) 2022/2555 (NIS2), artikkel 2 nr. 5, 21 og 23 og vedlegg I og II: eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
- Forordning (EU) 2023/2854 (dataforordningen, Data Act), artikkel 25 og 29: eur-lex.europa.eu/eli/reg/2023/2854/oj/eng
- Forordning (EU) 2024/2847 (Cyber Resilience Act), artikkel 14 og 71: eur-lex.europa.eu/eli/reg/2024/2847/oj/eng
- Direktiv (EU) 2016/2102 (webtilgjengelighetsdirektivet), artikkel 7: eur-lex.europa.eu/eli/dir/2016/2102/oj/eng
- Kommisjonens gjennomføringsbeslutning (EU) 2021/1339 (henvisning til EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/eng
- Direktiv 2014/24/EU (offentlige anskaffelser), artikkel 4, 42 nr. 1 og 58 nr. 4: eur-lex.europa.eu/eli/dir/2014/24/oj/eng
- Kommisjonens gjennomføringsbeslutning (EU) 2018/1523 (mal for tilgjengelighetserklæring): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/eng
- Direktiv 2002/58/EF (ePrivacy-direktivet), artikkel 5 nr. 3 slik den er erstattet ved direktiv 2009/136/EF: eur-lex.europa.eu/eli/dir/2009/136/oj/eng
- Kommisjonens gjennomføringsbeslutning (EU) 2021/914 (standard personvernbestemmelser), klausul 14 og 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/eng
- Kommisjonens gjennomføringsbeslutning (EU) 2023/1795 (EU-US Data Privacy Framework): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng
- Personvernrådet (EDPB), Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), vedtatt 9. oktober 2024: edpb.europa.eu, Opinion 22/2024
- Personvernrådet (EDPB), Guidelines 07/2020 on the concepts of controller and processor in the GDPR: edpb.europa.eu, Guidelines 07/2020
- Personvernrådet (EDPB), Recommendations 01/2020 on supplementary measures for transfers, versjon 2.0, avsnitt 13 (fjerntilgang er overføring): edpb.europa.eu, Recommendations 01/2020
- ENISA, Good Practices for Supply Chain Cybersecurity (13. juni 2023): enisa.europa.eu
- EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (detaljer som oppsummert i vår HECVAT-guide, kontrollert 7. oktober 2026)
- ISO/IEC 27001:2022, Information security management systems: iso.org/standard/27001; ISO/IEC 42001:2023, AI management systems: iso.org/standard/42001
- ETSI EN 301 549 V3.2.1 (2021-03), Accessibility requirements for ICT products and services: etsi.org (PDF)
- 1EdTech, Learning Tools Interoperability (LTI 1.3 og LTI Advantage): 1edtech.org/standards/lti
- University of Aberdeen, «How to undertake a supplier assessment» (21. oktober 2020): abdn.ac.uk
- University of Edinburgh, Information Security, «Using cloud services»: infosec.ed.ac.uk
- Luleå tekniska universitet, «Guidelines for information security in procurement and purchasing» (LTU-2486-2021, 4. desember 2023): ltu.se (PDF)
- Montclair State University, Information Security, «Vendor Assessment (HECVAT)»: inside.montclair.edu
Om denne siden
Vi skrev spørsmålsbanken ut fra rettstekstene og standardene som er oppført ovenfor, lest 9. oktober 2026, og ut fra publiserte rutiner ved universiteter. Spørsmålene er våre egne og er ikke hentet fra HECVAT eller andre lisensierte spørreskjemaer. Henvisningene peker til bestemmelsen et spørsmål bygger på; der en bestemmelse bare gjelder i enkelte tilfeller (for eksempel høyrisiko-KI-systemer eller databehandlingstjenester etter dataforordningen), sier spørsmålet det. Flere av EU-rettsaktene er ennå ikke tatt inn i EØS-avtalen; spørsmålene er likevel relevante for norske institusjoner fordi leverandørene i stor grad forholder seg til EU-reglene. De foreslåtte GDPR-endringene i Kommisjonens forslag til Digital Omnibus er ikke vedtatt og er ikke tatt med. Verktøyet er ikke juridisk rådgivning, og institusjonen har fortsatt ansvaret for sin egen vurdering. Finner du en feil eller en henvisning som er endret, ta kontakt med oss, så retter vi det.
Vanlige spørsmål
Hva er et spørreskjema om informasjonssikkerhet til leverandører?
Det er en strukturert liste med spørsmål som en kjøper sender til en leverandør før kjøp, for å finne ut hvordan leverandøren beskytter data og oppfyller rettslige plikter. Gode spørreskjemaer ber om dokumentasjon som sertifikater, avtaler og lister over underdatabehandlere, ikke bare ja- eller nei-svar.
Hvor mange spørsmål bør et spørreskjema til leverandører ha?
Så mange som risikoen krever, og ikke flere. Et enkelt verktøy med lite personopplysninger trenger kanskje rundt 20 spørsmål, en vanlig tjeneste med studentopplysninger eller KI-funksjoner 35 til 50, og en høyrisikoplattform med særlige kategorier eller mindreårige 70 eller flere. Å spørre om alt hver gang gjør vurderingene tregere og svarene dårligere.
Finnes det et alternativ til HECVAT for europeiske universiteter?
HECVAT er et bredt spørreskjema om sikkerhet og personvern fra EDUCAUSE og er fortsatt nyttig dokumentasjon. Europeiske universiteter legger som regel til spørsmål om databehandlervilkår etter GDPR artikkel 28, overføringer etter kapittel V, KI-forordningen og universell utforming etter EN 301 549, fordi disse reglene krever bestemte dokumenter og ikke bare generelle svar.
Hva bør et spørreskjema om GDPR til leverandører inneholde?
Som minimum: leverandørens rolle for hvert formål, en databehandleravtale som dekker artikkel 28 nr. 3 bokstav a til h, listen over underdatabehandlere og prosessen for endringer, lagringssteder og fjerntilgang, overføringsgrunnlag for hver mottaker utenfor EØS, sikkerhetstiltak, frist for varsling av brudd og sletting eller tilbakelevering av data ved avtalens slutt.
Trenger KI-verktøy egne spørsmål til leverandøren?
Ja. Spør om inndata og resultater brukes til å trene modeller, hvilke modelltilbydere som behandler dataene og hvor, hvor lenge forespørsler (prompter) lagres, om noen funksjon er en høyrisikobruk etter vedlegg III punkt 3 i KI-forordningen, og hvordan leverandøren oppfyller åpenhetspliktene i artikkel 50.
Er verktøyet gratis og privat?
Ja. Verktøyet kjører helt i nettleseren din. Ingenting du skriver eller krysser av, lagres eller sendes til Validemic eller andre, og du kan laste ned resultatet som CSV eller Markdown og redigere det fritt.