Alle bransjer
Konsulent · IT · byrå · arkitekt · rådgiver

Kunnskap og tjenesteyting

Internkontroll for konsulenter, IT-selskaper, byråer og andre kunnskapsvirksomheter.

Regelverket Kvalitro legger til grunn for deg
Personvernforordningen og personopplysningsloven
Artikkel 28 der dere er databehandler for kundene deres
Artikkel 32 — sikkerhetstiltak som står i forhold til risikoen
Anerkjente prinsipper for informasjonssikkerhet (ISO/IEC 27001-familien)
Arbeidsmiljøloven og internkontrollforskriften der dere har ansatte

Avviket vurderes mens du skriver det

Du beskriver hva som skjedde med egne ord. Kvalitro kategoriserer, setter alvorlighetsgrad, vurderer hvem som skal varsles — og fører saken videre til lukking.

Er dere databehandler for kunden, er det HUN som vurderer melding til Datatilsynet. Dere varsler henne. Systemet gjetter ikke på hvilken rolle dere har i det enkelte oppdraget — det spør.

Meld avvik Kvalitro
En utviklerkonto sto aktiv i tre uker etter at konsulenten sluttet. Hun hadde tilgang til kundens testmiljø.
Det er et avvik i tilgangsstyringen. Jeg har fylt ut skjemaet:
Kategori Informasjonssikkerhet
Alvorlighet Middels
Varsling Til kunden som behandlingsansvarlig

MÅ AVKLARES: Er dere databehandler for denne kunden? Da er det hun som vurderer melding til Datatilsynet, og dere som varsler henne uten ugrunnet opphold. Står det i databehandleravtalen?

Kapitler basert på opplysninger om virksomheten

Kvalitro spør om virksomheten, og skriver kapitlene ut fra svarene. Et byrå med to ansatte og én skyleverandør får noe annet enn et IT-selskap med femten og en underleverandørkjede.

Punkter som ikke kan besvares fra opplysningene deres, merkes «MÅ AVKLARES». Da blir antakelser ikke stående som vedtatte rutiner.

106. Leverandør- og underleverandørstyring 1 uavklart Godkjent
Vår rolle

Virksomheten er databehandler for kundene sine, og behandlingsansvarlig for egne ansatt- og kundeopplysninger. Databehandleravtale er inngått med samtlige kunder der personopplysninger inngår i leveransen.

Underleverandører

Skytjenester og drift leveres av tredjepart. Bruk av underleverandør forutsetter godkjenning fra den behandlingsansvarlige, og avtalen skal pålegge underleverandøren de samme pliktene.

MÅ AVKLARES: Hvilke underleverandører brukes, hvor behandler de, og er hver av dem godkjent av kundene? Hentes fra leverandøroversikten.

Risikovurdering etter artikkel 32

Sikkerhetstiltakene skal stå i forhold til risikoen — og da må risikoen være vurdert. Er dere databehandler for andre, krever artikkel 28 at dere kan vise det.

Kvalitro foreslår forholdene ut fra det som er registrert om virksomheten, og begrunner hva sannsynligheten og konsekvensen bør være. Dere godkjenner eller forkaster — det er der vurderingen deres ligger. Ingenting teller før dere har gjort det, og godkjenningen bærer navnet og datoen.

Risiko 2 ikke godkjent
Lav
Middels
Høy
Høy
1
2
Middels
1
3
1
Lav
2
1
Loddrett: sannsynlighetVannrett: konsekvens

Når nøkkelpersonen ikke er tilgjengelig

Blir en nøkkelperson borte, løper de avtalefestede fristene videre. Og er dere databehandler for andre, løper pliktene i databehandleravtalen uavhengig av hvem hos dere som er på jobb.

Kvalitro setter opp hva som skal ivaretas, hvem som har ansvar, og hvordan nødvendige systemer skal nås.

Beredskap og kontinuitet Klar
Hva som skal ivaretas om nøkkelpersoner blir utilgjengelige:
Varsle kunder og oppdragsgivere
Holde kritiske systemer og leveranser i gang
Ivareta avtalefestede frister og forpliktelser
Tilgang til systemer, kontoer og legitimasjon
Dokumentere egne handlinger
Er dere databehandler for andre, løper pliktene i databehandleravtalen videre uavhengig av hvem hos dere som er tilgjengelig.

Frister samlet i årshjulet

Årshjulet settes opp ut fra hva virksomheten er pålagt, og følger dere gjennom året. Gjennomgang av databehandleravtaler, test av gjenoppretting, årlig risikogjennomgang.

Ingenting legges inn før dere sier ja. Det er forslag, ikke oppgaver noen har gitt dere.

Årshjul 2026
9 av 14 gjort · 1 over frist
Juni Gjennomgang av databehandleravtaler Gjort
Juli Kontroll av tilgangslogg Gjort
August Test av gjenoppretting fra backup Forfalt
September Årlig risikogjennomgang Kommer

Pris etter hvor mange dere er

349 kroner i måneden for opptil tre personer, og 699 for fire til åtte, løpende uten binding — ansatte og innleide som skal ha egen innlogging. For 12 måneder om gangen er det 290 og 580 kroner i måneden (3 480 og 6 960 kroner forskuddsvis). Prisene faktureres uten merverdiavgift frem til Kvalitro er registrert i Merverdiavgiftsregisteret.

Prisen inkluderer alle moduler og innholdet for valgt bransje.

Pris
290 kr / mnd
for 12 måneder
3 480 kr betales forskuddsvis
349 kr / mnd
løpende
uten binding
Alle moduler og hele bransjepakken din
Utkast til kapitler og avviksvurderinger basert på svarene dine
Ingen etableringsgebyr, og løpende uten binding
Prisen gjelder opptil tre personer

Vil du prøve det nå?

Opprett en konto og prøv hele Kvalitro gratis i 14 dager.

Du trenger ikke betalingskort, og prøveperioden går ikke automatisk over til et abonnement.

Prøv gratis i 14 dager
Du oppretter kontoen direkte i Kvalitro. Se personvernerklæringen.

Kvalitro AS er registrert med organisasjonsnummer 938 301 263. Databehandleravtalen kan leses i sin helhet nå.