Uanset om I kører SaaS, PaaS eller IaaS, er data, identiteter og opsætningen i lejeren jeres egne. Udbyderens erklæring handler om udbyderens platform. Den tekniske gennemgang skal derfor ramme jeres side af grænsen: konti, roller, MFA, betinget adgang, delingsindstillinger og de data, I lægger ind.
Det lyder enkelt, men grænsen flytter sig med driftsformen. I en virtuel maskine hos en udbyder er netværksreglerne jeres. I en kontorplatform som tjeneste er de udbyderens. En gennemgang, der ikke har trukket grænsen, ender med at kigge efter det forkerte.
Én udbyders tabel som eksempel
Microsoft har en side om delt ansvar i skyen, senest opdateret 24. august 2026. Den indeholder en tabel over, hvem der har ansvaret for hvad i fire driftsformer: lokalt, IaaS, PaaS og SaaS. Tabellen er brugt her som eksempel på én udbyders model. AWS’ model er ikke læst, og andre udbyderes modeller kan være opdelt anderledes.
- Kundens data · IaaS: Kunden · PaaS: Kunden · SaaS: Kunden
- Konfigurationer og indstillinger · IaaS: Kunden · PaaS: Kunden · SaaS: Kunden
- Identiteter og brugere · IaaS: Kunden · PaaS: Kunden · SaaS: Kunden
- Netværkskontroller · IaaS: Kunden · PaaS: Delt · SaaS: Udbyderen
- Fysiske værter, net og datacenter · IaaS: Udbyderen · PaaS: Udbyderen · SaaS: Udbyderen
Microsoft skriver, at kunden i alle driftsformer ejer sine data og identiteter og altid beholder ansvaret for data, endepunkter, konti og adgangsstyring, herunder rollebaseret adgang, MFA og betinget adgang. Microsoft skriver også selv, at ordet ansvar bruges i styringsmæssig forstand, at siden er vejledende, og at den ikke ændrer aftalen. Det er aftalen, der afgør fordelingen hos jer.
De tre rækker, der altid er jeres
De tre første rækker i tabellen er de samme i alle driftsformer. Det er netop dem, en teknisk gennemgang af lejeren handler om.
Data. Hvad ligger der, hvem kan dele det, og er der kopier, I selv styrer? Backup af data i skyen gennemgås for sig i hvad der er dækket i skyen.
Konfigurationer og indstillinger. Delingsindstillinger, regler for videresendelse, logning, netværksregler i IaaS. Det er her, de fleste konfigurationsfund ligger.
Identiteter og brugere. Administratorroller, MFA-dækning, politikker for betinget adgang, gæster og apps med samtykke.
Det, en standardmapping ikke siger
Microsoft cloud security benchmark mapper sine kontroller til en række standarder. Microsoft skriver selv, at mappingen ikke nødvendigvis betyder fuld overholdelse. Den viser alene, at platformens funktioner kan dække et krav, helt eller delvist. Det er værd at have med, når nogen siger, at platformen er godkendt efter en standard. Platformen kan være det. Jeres opsætning af den er ikke dermed gennemgået.
Udbyderens erklæring hører til et andet spor
Udbyderens erklæringer og certificeringer beskriver udbyderens kontroller. Hvordan de læses, og hvad kunden kan kræve af udbyderen, er en opgave for indkøb og kontraktejer. Den del hører til kontrol af leverandøren set fra kunden. Den bredere NIS2-vinkel på ansvarsfordelingen er beskrevet under den almene auditmetode og NIS2-audit.
Her er pointen teknisk. Erklæringen dækker udbyderens rækker i tabellen. Jeres rækker skal gennemgås af jer selv eller af en, I beder om det.
Statens afgrænsning som eksempel
Kun statslige myndigheder er bundet af de tekniske minimumskrav. Alligevel viser vejledningen fra september 2025 tankegangen gennem en afgrænsning. SaaS, som myndigheden køber adgang til, er ikke omfattet af logningskravet og kravet til interne systemer. Er en cloudbaseret postløsning sat op med login fra myndighedens eget katalog, er den derimod omfattet af passwordkravet. Det svarer til tabellens tankegang, hvor identiteterne altid hører til kunden.
Sådan trækkes grænsen i praksis
Det er almindelig praksis at starte gennemgangen med en liste over cloudtjenester med tre kolonner: tjenesten, driftsformen og de områder, der er jeres efter udbyderens model og jeres aftale. Listen viser, hvilke kontrolpunkter der hører med for hver tjeneste. En kontorplatform som tjeneste giver kontrolpunkter for identitet, deling og log. En virtuel maskine giver også netværk, opdateringer og hærdning af styresystemet.
Er der tvivl om en række, er det et spørgsmål til aftalen, ikke til den tekniske gennemgang. Svaret skrives på listen, så næste gennemgang bygger på det samme. Står svaret ikke i aftalen, er det et spørgsmål til udbyderen, og det skriftlige svar gemmes sammen med listen.
Når driftsformen skifter
Flytter et system fra en virtuel maskine til en tjeneste, flytter rækkerne i tabellen med. Netværkskontroller, der var jeres i IaaS, ligger i Microsofts tabel hos udbyderen i SaaS. Data, indstillinger og identiteter bliver hos jer. En gennemgang efter en flytning ser derfor især på, om de kontrolpunkter, der fulgte med over, er sat op igen i den nye form, fx log, adgang og deling. Det er praksis, og forløbet omkring en flytning er beskrevet i før og efter en cloudmigrering.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over cloudtjenester, kendskab til driftsformen for hver og adgang til aftalerne. Listen kan laves på et par timer, hvis indkøb og drift sidder sammen.
Uden grænsen hviler I på udbyderens erklæring for noget, den ikke dækker. Ingen opdager, at delingsindstillingerne er åbne, fordi alle går ud fra, at udbyderen har styr på sikkerheden.
Det skal I lade være med
- At læse udbyderens erklæring som en gennemgang af jeres lejer · den dækker udbyderens del.
- At bruge én udbyders tabel for alle tjenester · modellerne er ikke ens.
- At lade tvivl om en række stå åben · afgør den ud fra aftalen, og skriv svaret ned.
Det skal gennemgangen kunne vise
- ☐ En liste over cloudtjenester med driftsform.
- ☐ For hver tjeneste de områder, der er jeres, med henvisning til model og aftale.
- ☐ Gennemgang af data, indstillinger og identiteter i hver tjeneste.
- ☐ Afklarede tvivlsspørgsmål med kilde.
Kilder
- Microsoft Learn, Shared responsibility in the cloud, ms.date 2026-08-24, læst 13. november 2026.
- Microsoft Learn, Overview of the Microsoft cloud security benchmark v2 (preview), ms.date 2026-01-15, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2, 3.4, 3.6 og 3.10, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over cloudtjenester med driftsform, og markér de rækker, der er jeres.
Læs også: Gennemgang af Microsoft 365 · Gennemgang af et Azure-miljø
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
