Vælg den rette ISAE-erklæring
ISAE 3000, ISAE 3000-NIS2 og ISAE 3402 – og ro på med en 3-årig aftale, hvor Unitas varetager erklæringen i samarbejde med jeres revisor
Jeres eksterne sikkerheds- og complianceafdeling – også når det gælder erklæringer
Kunder, samarbejdspartnere og myndigheder stiller i stigende grad krav om uafhængig dokumentation for, at jeres sikkerhed og databehandling er i orden. En ISAE-erklæring giver netop det.
Unitas arbejder som den eksterne sikkerheds- og complianceafdeling for virksomheder og organisationer, der skal kunne dokumentere deres informationssikkerhed. Vores erfarne IT-revisorer (bl.a. CISA, ISO27001 Lead Auditor og CDPSE) forbereder hele erklæringen: afgrænsning, risikovurdering, kontrolbeskrivelser, dokumentation og test.
Den statsautoriserede revisor afgiver og underskriver erklæringen – og fordi grundarbejdet er gjort, bliver revisionen både hurtigere og billigere.
Valget af erklæring afhænger af, hvem der skal bruge den, og hvad de skal have sikkerhed for. Læs om de tre erklæringer nedenfor.
Vidste du at..?
Tre ting, der er gode at vide om ISAE-erklæringer:
1
…én samlet kontrolramme ofte kan danne grundlag for både en ISAE 3000-, en NIS2- og en ISAE 3402-erklæring?
2
…NIS2 gør ledelsen ansvarlig for sikkerheden i leverandørkæden – og derfor efterspørger flere og flere kunder en erklæring fra deres leverandører?
3
…en type 2-erklæring dokumenterer, at kontrollerne virker i praksis over en hel periode – ikke kun på papiret?
ISAE 3000
GDPR og informationssikkerhed
ISAE 3000 er den internationale standard for erklæringer om andet end historiske finansielle oplysninger – og derfor den mest fleksible erklæringstype. I Danmark bruges den især som erklæring om databehandling efter GDPR, hvor I som databehandler dokumenterer over for jeres kunder (de dataansvarlige), at persondata behandles sikkert og i overensstemmelse med databehandleraftalen.
Erklæringen kan også bygges op omkring informationssikkerhed generelt, fx med udgangspunkt i ISO 27001/27002-kontroller. Den findes som type 1, der vurderer kontrollernes design på et bestemt tidspunkt, og type 2, der også tester, om kontrollerne har fungeret effektivt over en periode. For mange kunder er ISAE 3000 den erklæring, der gør svaret på leverandørspørgeskemaer og tilsyn til en formalitet.
Typiske kunder
- SaaS- og softwareleverandører, der behandler persondata for kunder
- Løn-, HR- og rekrutteringsbureauer
- Leverandører til kommuner, regioner og staten
- Sundheds- og velfærdsteknologiske leverandører
- Marketing-, kundeservice- og callcenterbureauer
ISAE 3000-NIS2
NIS2 og sikkerhed i forsyningskæden
ISAE 3000-NIS2 er erklæringen for serviceleverandører, der leverer tjenester til NIS2-omfattede virksomheder. Den bygger på FSR – danske revisorers opdaterede erklæringsskabelon (version 2, december 2025). Den dokumenterer jeres foranstaltninger til styring af risici i net- og informationssystemer og til de rapporteringsforpligtelser, der følger af aftalen med kunden, herunder hvordan I understøtter kundens anmeldelse af hændelser til myndighederne.
Skabelonen indeholder 10 kontrolmål, der følger NIS2-lovens minimumskrav og er koblet til Styrelsen for Samfundssikkerheds vejledning om implementering af cybersikkerhedsforanstaltninger. NIS2 pålægger de omfattede virksomheder – og deres ledelse – at føre tilsyn med leverandørkæden, og erklæringen giver dem præcis den dokumentation i et format, de og deres revisor kender. Den afgives med begrænset sikkerhed, kan udarbejdes til én bestemt kunde eller til en bred kreds af kunder og kan også omfatte jeres egne underleverandører.
De 10 kontrolmål:
- Risikoanalyse og politikker
- Hændelseshåndtering
- Driftskontinuitet og krisestyring
- Forsyningskædesikkerhed
- Sikker udvikling og sårbarheder
- Effektivitetsvurdering
- Cyberhygiejne og uddannelse
- Kryptografi
- Personale, adgang og aktiver
- MFA og sikker kommunikation
Typiske kunder
- IT-drifts- og managed service-leverandører (MSP’er)
- Hosting-, cloud- og datacenterleverandører
- Software- og OT-leverandører til energi, forsyning, transport og sundhed
- Leverandører af sikkerheds- og overvågningsydelser (SOC, backup, netværk)
- Leverandører, der oplever mange NIS2-leverandørspørgeskemaer fra kunderne
ISAE 3402
Kontroller med betydning for regnskabet
ISAE 3402 er erklæringen for serviceorganisationer, hvis ydelser påvirker kundernes økonomiske rapportering. Den dokumenterer, at jeres interne kontroller – fx adgangsstyring, ændringshåndtering, backup og drift – er hensigtsmæssigt designet og fungerer effektivt, når I driver systemer eller processer, der indgår i kundens regnskab.
Erklæringen er først og fremmest et værktøj for jeres kunders revisorer: I stedet for at hver kundes revisor skal besøge jer og teste jeres kontroller, kan de lægge jeres ISAE 3402-erklæring til grund for deres revision. Det sparer tid for alle parter. Som ved ISAE 3000 findes både type 1 og type 2, og kunder og revisorer vil i de fleste tilfælde efterspørge type 2, der dækker en hel periode.
Typiske kunder
- IT-hosting og drift af økonomi- og ERP-systemer
- Lønbureauer og leverandører af lønsystemer
- Outsourcede bogholderi- og økonomifunktioner
- Administratorer inden for pension, forsikring og ejendom
- Betalings-, fakturerings- og inkassoservices
Hvilken erklæring passer til jer?
Mange virksomheder har brug for mere end én form for dokumentation. Den gode nyhed er, at kontroller og dokumentation i vid udstrækning kan genbruges på tværs – også mellem ISAE-erklæringerne, D-mærket og ISO 27001.
| ISAE 3000 | ISAE 3000-NIS2 | ISAE 3402 | D-mærket | ISO 27001-certificering | |
|---|---|---|---|---|---|
| Formål | Dokumentere databehandling (GDPR) og/eller informationssikkerhed | Dokumentere styring af cybersikkerhedsrisici efter NIS2 | Dokumentere kontroller med betydning for kundens regnskab | Vise, at virksomheden arbejder ansvarligt med IT-sikkerhed og data | Dokumentere et ledelsessystem for informationssikkerhed (ISMS) efter international standard |
| Primær modtager | Dataansvarlige kunder og deres DPO/compliancefunktion | NIS2-omfattede kunder til brug for deres leverandørtilsyn | Kundernes revisorer og økonomifunktion | Kunder, samarbejdspartnere og forbrugere (synligt mærke) | Kunder, samarbejdspartnere og udbydere – også internationalt |
| Kontrolgrundlag | GDPR art. 28 og 32, databehandleraftale, ISO 27001/27002 | 10 kontrolmål efter NIS2-loven, koblet til SSFS’ vejledning (FSR-skabelon v.2) | Generelle IT-kontroller og procesnære kontroller | D-mærkets 8 kriterier, tilpasset en af 4 virksomhedsgrupper | ISO/IEC 27001:2022 – krav til ISMS og kontroller i bilag A |
| Sikkerhedsgrad / dokumentation | Revisorerklæring – høj (reasonable) eller begrænset | Revisorerklæring – begrænset | Revisorerklæring – høj (reasonable) | Mærke med tilsynsrapport efter kontrol ved D-mærkets revisor | Certifikat fra akkrediteret certificeringsorgan |
| Forløb og gyldighed | Type 1 eller type 2 – fornyes typisk årligt | Type 1 eller type 2 – fornyes typisk årligt | Type 1 eller type 2 (type 2 mest efterspurgt) – fornyes typisk årligt | Selvevaluering og tilsyn – mærket tildeles for ét år ad gangen | Certificeringsaudit i to trin – certifikatet gælder i 3 år med årlige overvågningsaudits |
| Typisk for | Databehandlere, SaaS, offentlige leverandører | IT- og OT-leverandører til kritiske sektorer | Hosting, løn, økonomi- og administrationsservices | SMV’er og virksomheder, der vil vise digital tryghed over for kunder | Virksomheder med internationale kunder eller høje krav i udbud og kontrakter |
Få ro på med en 3-årig aftale
Uanset hvilken erklæring I har brug for, kan I med fordel indgå en 3-årig aftale med Unitas. Så behøver I ikke selv forholde jer til erklæringen hvert år – vi varetager den som en løbende service i samarbejde med jeres revisor.
- År 1 – etablering.
Vi afgrænser erklæringen, beskriver kontrollerne, lukker eventuelle huller og forbereder den første erklæring. - Løbende drift.
Vi følger op på kontrollerne gennem året, så dokumentationen er klar, når perioden slutter. - År 2 og 3 – fornyelse.
Vi opdaterer erklæringen, koordinerer med revisoren og sikrer, at I er klar til næste periode.
Det får I med en 3-årig aftale
- Én fast kontaktperson og en kendt årlig proces
- Forudsigelige omkostninger over hele aftaleperioden
- Koordinering med jeres revisor – I skal ikke være mellemled
- Kontrolmiljø, der modnes år for år i stedet for at starte forfra
- Mindre intern ressourcebelastning og færre overraskelser
Samarbejde med førende danske revisionshuse
Ønsker I Unitas varetager hele processen, der også involverer selve revisionen? Det kan vi også klare gennem vores samarbejde med Beierholm, hvor vi har stærke relationer og kendte arbejdsprocesser.
Det sikrer dig en gnidningsfri proces og en god økonomi.
Ofte stillede spørgsmål om ISAE-erklæringer
Hvad er forskellen på ISAE 3000 og ISAE 3402?
ISAE 3000 bruges til at dokumentere andet end regnskabsforhold – typisk databehandling efter GDPR eller informationssikkerhed generelt – og modtages af jeres kunder. ISAE 3402 dokumenterer kontroller, der har betydning for kundernes økonomiske rapportering, og bruges primært af kundernes revisorer.
Hvad er en ISAE 3000-NIS2-erklæring?
Det er en ISAE 3000-erklæring for serviceleverandører til NIS2-omfattede virksomheder. Den bygger på FSR – danske revisorers skabelon (version 2, december 2025) med 10 kontrolmål, der følger NIS2-lovens minimumskrav, og afgives med begrænset sikkerhed. Kunderne bruger den i deres tilsyn med leverandørkæden.
Hvad er forskellen på en type 1- og en type 2-erklæring?
En type 1-erklæring vurderer, om kontrollerne er hensigtsmæssigt designet og implementeret på et bestemt tidspunkt. En type 2-erklæring tester desuden, om kontrollerne har fungeret effektivt over en periode – typisk 6–12 måneder – og er derfor den, kunder og revisorer oftest efterspørger.
Hvem udarbejder og underskriver erklæringen?
Unitas’ IT-revisorer (bl.a. CISA og CDPSE) forbereder erklæringen: afgrænsning, risikovurdering, kontrolbeskrivelser, dokumentation og test. Erklæringen afgives og underskrives af en statsautoriseret revisor, som kan lægge det forberedte arbejde til grund. Det gør processen hurtigere og billigere.
Hvor lang tid tager det at få en ISAE-erklæring?
Et typisk erklæringsforløb tager 8–12 uger fra opstart til færdig erklæring. Tiden afhænger af erklæringstypen, hvor moden jeres dokumentation er, og om der er huller, der skal lukkes undervejs. For en type 2-erklæring kommer selve erklæringsperioden oveni.
Hvorfor vælge en 3-årig aftale?
Med en 3-årig aftale varetager Unitas erklæringen som en løbende service i samarbejde med jeres revisor. I skal ikke selv forholde jer til erklæringen hvert år, I får forudsigelige omkostninger, og kontrolmiljøet modnes fra år til år i stedet for at starte forfra.