Frågeformulär om säkerhet och GDPR för leverantörer till lärosäten

Beskriv verktyget ni ska köpa med sju korta frågor och få ett frågeformulär till leverantören som bara frågar det som är viktigt för just det verktyget. Varje fråga har ett skäl, en hänvisning till lag eller standard och det underlag ni bör begära. Kopiera formuläret, ladda ned det som CSV eller Markdown, eller skriv ut det.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

Vad är ett frågeformulär om informationssäkerhet till leverantörer?

Ett frågeformulär om informationssäkerhet till leverantörer är en strukturerad uppsättning frågor som ett lärosäte skickar till en leverantör innan en tjänst köps eller förlängs. Det frågar hur leverantören skyddar uppgifter, vilka lagar den uppfyller och vilka dokument som visar det. Rätt använt är det ett register över underlag: varje svar pekar på en avtalsklausul, ett certifikat, en rapport eller en förteckning som ni kan kontrollera.

På ett europeiskt lärosäte tjänar frågeformuläret flera personer samtidigt. Dataskyddsombudet behöver villkoren för personuppgiftsbiträdet, underbiträdena och överföringarna enligt GDPR. IT-säkerhet behöver certifikat, kryptering, åtkomstkontroll och incidenthantering. Upphandlingen behöver villkor om avtal, ansvar och utträde, och allt oftare behöver någon kontrollera AI-funktioner mot AI-förordningen och tillgänglighet mot EN 301 549. Vår guide om leverantörsgranskning för lärosäten (på engelska) beskriver hela processen. Frågeformuläret är ett steg i den.

Varför anpassa frågeformuläret?

För att långa, generella frågeformulär ger dåliga svar. Leverantörer som säljer till många lärosäten får hundratals frågeformulär om året. När ett kalkylark med 300 rader kommer för ett enkelt verktyg utan personuppgifter kopieras svaren ofta från ett tidigare svar, och de frågor som är viktiga försvinner bland dem som inte är det.

Anpassning hjälper båda parter:

• Leverantören svarar på färre frågor, och varje fråga gäller tydligt, så svaren blir mer specifika.
• Granskaren läser färre svar och kan lägga tiden på dokumenten bakom dem.
• Beslutet blir lättare att försvara, eftersom granskningens djup motsvarar risken.

Riskbaserad avgränsning är också hur sektorns frågeformulär fungerar i dag. EDUCAUSE anger att HECVAT 4 börjar med avgränsningsfrågor som avgör vilka frågor som gäller (se vår HECVAT-guide för europeiska lärosäten, på engelska). Flera lärosäten skalar sin process efter värde eller uppgifter, vilket exemplen nedan visar.

Så väljer verktyget frågor

Verktyget ger verktyget som ska köpas en poäng utifrån era svar på de inledande frågorna. Personuppgifter, känsliga personuppgifter, uppgifter om minderåriga, generativ AI, okänd drift eller drift utanför EES, omfattande integrationer, NIS2 och ett högt avtalsvärde höjer poängen. Poängen bestämmer en nivå, och varje fråga i banken har en lägsta nivå och, där det är relevant, en utlösande faktor.

De utlösande faktorerna fungerar oberoende av nivån. Om ni kryssar i LTI får ni frågorna om LTI 1.3 och deltagarlistor. Om verktyget använder generativ AI får ni frågorna om träning, modelleverantör, lagring av prompter och transparens enligt artikel 50. Om driften sker utanför EES eller inte är känd flyttas överföringsfrågorna upp till den lätta nivån. Känsliga personuppgifter och uppgifter om minderåriga ger alltid ett fullständigt frågeformulär.

Resultatet är en utgångspunkt. Ta bort frågor som inte passar och lägg till lärosätets egna krav, till exempel regler om informationsklassning eller villkor i bibliotekets licensavtal.

Finns det ett europeiskt alternativ till HECVAT?

HECVAT är fortfarande användbart i Europa, men det ersätter inte de EU-specifika frågorna. HECVAT, som förvaltas av EDUCAUSE tillsammans med Internet2 och REN-ISAC, är ett brett frågeformulär om säkerhet, integritet och tillgänglighet som många leverantörer till högre utbildning redan har fyllt i. Europeisk rätt kräver särskilda dokument: ett personuppgiftsbiträdesavtal enligt artikel 28, en överföringsmekanism för varje mottagare utanför EES, en klassificering enligt AI-förordningen och en överensstämmelserapport enligt EN 301 549.

Validemics analys
Om en leverantör skickar ett aktuellt HECVAT 4, godta det för de allmänna säkerhetsfrågorna och skicka bara de EU-specifika områdena från det här verktyget: GDPR och personuppgiftsbiträdesavtalet, underbiträden, överföringar, AI och tillgänglighet. Då slipper leverantören svara på samma sak två gånger. En Word-version med 77 frågor i 11 avsnitt finns i det europeiska frågeformuläret för leverantörer på vår HECVAT-sida.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

Hur bedömer man svaren?

Bedöm underlaget, inte svarstexten. Ett svar i frågeformuläret är leverantörens påstående. Beslutet bör vila på de dokument som svaret hänvisar till. Läs varje svar tillsammans med underlaget, notera luckor och skicka en omgång följdfrågor innan ni beslutar.

1. Kontrollera att svaren gäller det abonnemang ni köper. Integritetsvillkor, standardinställningar för AI-träning och lagringsplats skiljer sig ofta mellan kostnadsfria versioner, utbildningsversioner och företagsversioner.
2. Läs personuppgiftsbiträdesavtalet mot artikel 28.3. Var och en av punkterna a–h måste finnas i avtalet, inte bara i frågeformuläret. Vår PUB-avtalskontroll stämmer av ett avtalsutkast punkt för punkt.
3. Kontrollera underbiträdeslistan och dataflödena. EDPB skriver att personuppgiftsansvariga bör ha identiteten på alla personuppgiftsbiträden och underbiträden ”readily available at all times” (lätt tillgänglig vid varje tidpunkt) (yttrande 22/2024). Jämför listan med svaren om lagringsplatser och fjärråtkomst, och använd sedan verktyget för överföringsmekanismer för varje mottagare utanför EES.
4. Kontrollera certifikatens omfattning och datum. Ett ISO/IEC 27001-certifikat eller en SOC 2-rapport har bara betydelse om det omfattar den produkt och den drift ni köper och är aktuellt.
5. Klassificera AI-funktionerna. Använd verktyget för AI-förordningen inom utbildning för varje funktion som betygssätter, antar, placerar eller övervakar studenter vid prov.
6. Avgör om en konsekvensbedömning behövs. Gör förhandsbedömningen med det ni har fått veta.
7. Dokumentera villkoren. Godkänn med villkor där det behövs, till exempel ”endast enkel inloggning” eller ”AI-funktioner avstängda”, och bestäm ett datum för ny granskning.

Varningssignaler i leverantörers svar

Validemics analys
Inget av dessa svar diskvalificerar automatiskt. Vart och ett behöver en följdfråga före godkännandet.

Verktyg som inte är godkända hoppar ofta över den här granskningen helt. Vår guide om skugg-IT och AI-verktyg på lärosäten beskriver hur ni får in dem i processen.

Så granskar lärosäten leverantörer

Publicerade rutiner från lärosäten visar samma mönster: granskningen utlöses av uppgifter eller systemåtkomst, dess djup beror på risk eller värde, och den börjar i god tid före avtalet.

• University of Aberdeen (Storbritannien). Universitetets vägledning för anställda från oktober 2020 använder avtalsvärdet för att välja väg: ”If the total value of your contract is under £10,000, complete the Standard Assessment.” (Om avtalets totala värde är under 10 000 pund, gör standardbedömningen.) Över det beloppet använder den utökade bedömningen den skotska regeringens Cyber Security Procurement Support Tool. Enligt vägledningen bör man räkna med ungefär fyra veckor.
• University of Edinburgh (Storbritannien). Universitetets vägledning om molntjänster ber anställda kontrollera förhandlade avtal, lagringsplatser och kryptering: ”Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit.” (Kontrollera att varje molnleverantör som hanterar uppgifter för din räkning krypterar dem, både i vila och under överföring.)
• Luleå tekniska universitet (Sverige). Universitetets riktlinjer för informationssäkerhet vid upphandling och inköp, som bygger på vägledning från Myndigheten för samhällsskydd och beredskap (MSB), kräver krav som är detaljerade och möjliga att utvärdera, och anger i den engelska versionen ”which requirements are mandatory ("must") and which are non-mandatory ("should")” (vilka krav som är obligatoriska (”ska”) och vilka som inte är det (”bör”)).
• Montclair State University (USA). Universitetet kräver en säkerhetsgranskning av moln- och SaaS-tjänster före köp, förlängning eller pilotprojekt, godtar HECVAT 3.x eller senare och anger att ”Generally, vendor security reviews are valid for two years.” (Säkerhetsgranskningar av leverantörer gäller i regel i två år.)

Verktyget följer samma logik: de inledande frågorna styr djupet, och resultatet skiljer det som ska frågas från det som ska kontrolleras.

Källor

Alla källor hämtades den 9 oktober 2026. EU-rättsakterna lästes i versionerna i Europeiska unionens officiella tidning från publikationsbyrån och länkas på EUR-Lex. Citat från engelskspråkiga källor återges på engelska med en svensk översättning inom parentes.

1. Förordning (EU) 2016/679 (dataskyddsförordningen), särskilt artiklarna 3, 5, 8, 9, 22, 25, 27, 28, 30, 32–36, 44–49 och 89: eur-lex.europa.eu/eli/reg/2016/679/oj/swe
2. Förordning (EU) 2024/1689 (AI-förordningen), artiklarna 3, 4, 5, 6, 13–15, 25–27, 50 och 53 samt bilaga III: eur-lex.europa.eu/eli/reg/2024/1689/oj/swe
3. Förordning (EU) 2026/1744 (digital omnibus om AI), som ändrar artikel 4, övergångsreglerna för artikel 50 och datumen i artikel 113: eur-lex.europa.eu/eli/reg/2026/1744/oj/swe
4. Direktiv (EU) 2022/2555 (NIS2), artiklarna 2.5, 21 och 23 samt bilagorna I och II: eur-lex.europa.eu/eli/dir/2022/2555/oj/swe
5. Förordning (EU) 2023/2854 (dataförordningen), artiklarna 25 och 29: eur-lex.europa.eu/eli/reg/2023/2854/oj/swe
6. Förordning (EU) 2024/2847 (cyberresiliensförordningen), artiklarna 14 och 71: eur-lex.europa.eu/eli/reg/2024/2847/oj/swe
7. Direktiv (EU) 2016/2102 (webbtillgänglighetsdirektivet), artikel 7: eur-lex.europa.eu/eli/dir/2016/2102/oj/swe
8. Kommissionens genomförandebeslut (EU) 2021/1339 (hänvisning till EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/swe
9. Direktiv 2014/24/EU (offentlig upphandling), artiklarna 4, 42.1 och 58.4: eur-lex.europa.eu/eli/dir/2014/24/oj/swe
10. Kommissionens genomförandebeslut (EU) 2018/1523 (mall för tillgänglighetsredogörelse): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/swe
11. Direktiv 2002/58/EG (direktivet om integritet och elektronisk kommunikation), artikel 5.3 i den lydelse som följer av direktiv 2009/136/EG: eur-lex.europa.eu/eli/dir/2009/136/oj/swe
12. Kommissionens genomförandebeslut (EU) 2021/914 (standardavtalsklausuler), klausulerna 14 och 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/swe
13. Kommissionens genomförandebeslut (EU) 2023/1795 (ramverket för dataskydd mellan EU och USA): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/swe
14. EDPB, yttrande 22/2024 om vissa skyldigheter som följer av att anlita personuppgiftsbiträden och underbiträden, antaget den 9 oktober 2024: edpb.europa.eu, Opinion 22/2024
15. EDPB, riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR: edpb.europa.eu, Guidelines 07/2020
16. EDPB, rekommendationer 01/2020 om kompletterande åtgärder vid överföringar, version 2.0, punkt 13 (fjärråtkomst är en överföring): edpb.europa.eu, Recommendations 01/2020
17. Enisa, Good Practices for Supply Chain Cybersecurity (13 juni 2023): enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (uppgifter enligt sammanfattningen i vår HECVAT-guide, kontrollerad 7 oktober 2026)
19. ISO/IEC 27001:2022, ledningssystem för informationssäkerhet: iso.org/standard/27001, ISO/IEC 42001:2023, ledningssystem för AI: iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), tillgänglighetskrav för IKT-produkter och IKT-tjänster: etsi.org (pdf)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 och LTI Advantage): 1edtech.org/standards/lti
22. University of Aberdeen, ”How to undertake a supplier assessment” (21 oktober 2020): abdn.ac.uk
23. University of Edinburgh, Information Security, ”Using cloud services”: infosec.ed.ac.uk
24. Luleå tekniska universitet, ”Guidelines for information security in procurement and purchasing” (LTU-2486-2021, 4 december 2023, engelsk version av Riktlinje för informationssäkerhet vid upphandling och inköp): ltu.se (pdf)
25. Montclair State University, Information Security, ”Vendor Assessment (HECVAT)”: inside.montclair.edu

Om den här sidan

Vi skrev frågebanken utifrån de rättsakter och standarder som anges ovan, lästa den 9 oktober 2026, och utifrån publicerade rutiner från lärosäten. Frågorna är våra egna och är inte hämtade från HECVAT eller något annat licensierat frågeformulär. Hänvisningarna pekar på den bestämmelse som en fråga bygger på. Där en bestämmelse bara gäller i vissa fall (till exempel AI-system med hög risk, eller databehandlingstjänster enligt dataförordningen) anges det i frågan. De föreslagna ändringarna av GDPR i kommissionens förslag till digital omnibus är inte gällande rätt och har inte beaktats. Verktyget är inte juridisk rådgivning, och lärosätet ansvarar självt för sin bedömning. Om du hittar ett fel eller en hänvisning som har ändrats, kontakta oss så rättar vi det.