NordVPN har for sjette gang i træk fået en uafhængig revisor til at kigge sine servere efter i sømmene, og for sjette gang kommer konklusionen ud, som virksomheden håbede på. Deloitte Litauen offentliggjorde i februar 2026 en rapport, der bekræfter, at NordVPN ikke opbevarer identificerbare logs over brugernes trafik. Revisionen blev udført efter standarden ISAE 3000 (Revised) og dækker perioden frem til december 2025. For danske og nordiske brugere, der i stigende grad bliver mødt af GDPR-bøder, datalæk og skærpet kontrol fra Datatilsynet, er nyheden et sjældent lyspunkt i en ellers presset sikkerhedsdagsorden.

Men revisionen kommer også i en tid, hvor tilliden til digitale værktøjer generelt er under pres. Samme uge som Deloittes rapport landede, kørte overskrifter om GDPR-bøder til danske myndigheder, og sikkerhedsforskere fortsatte med at afdække svagheder i andre kategorier af privatlivsværktøjer, heriblandt password managers. Denne artikel gennemgår, hvad den sjette revision faktisk viser, hvordan den adskiller sig fra tidligere år, og hvad den betyder for det nordiske marked for VPN-tjenester og digital privatliv i 2026.

NordVPNs sjette revision: Hvad Deloitte fandt

Deloitte Litauen gennemførte revisionen i december 2025, og selve rapporten blev offentliggjort i februar 2026. Det gør den til den sjette uafhængige gennemgang af NordVPNs “no-logs”-påstand siden virksomheden startede sin revisionsrække i 2018. Revisorernes arbejde fokuserede på, om serverkonfigurationer, logningspipelines og adgangskontroller i produktionsmiljøet faktisk understøtter løftet om, at hverken session-trafik, DNS-forespørgsler eller lignende brugeraktivitet bliver gemt længere end nødvendigt for driften af tjenesten.

Konklusionen var, at Deloitte inden for den undersøgte periode ikke fandt logs, der kunne identificere brugernes browserhistorik eller trafikindhold. Det er vigtigt at holde fast i, hvad rapporten ikke siger: Den er ikke en fuld penetrationstest, og den er ikke en generel sikkerhedscertificering af hele NordVPNs infrastruktur. ISAE 3000-rapporter af denne type er afgrænsede assurance-erklæringer, der udelukkende forholder sig til det, virksomheden selv har bedt om at få undersøgt, i dette tilfælde logningspraksis.

ISAE 3000: Standarden bag “no-logs”-løftet

ISAE 3000 (Revised) er en international standard for erklæringsopgaver, der ikke handler om regnskaber. Standarden bruges ofte til netop den type ikke-finansielle kontroller, som ligger til grund for SOC-lignende rapporter, og den fastlægger, hvordan en uafhængig revisor skal planlægge, teste og rapportere sit arbejde. For en VPN-udbyder betyder det, at revisoren gennemgår tekniske konfigurationer, interviewer teknisk personale og sammenholder det, virksomheden hævder, med det, systemerne faktisk gør.

Fordelen ved standarden er, at den giver et fælles sprog på tværs af brancher. Ulempen er, at den ikke er en garanti mod fremtidige ændringer. En revision er et øjebliksbillede, og NordVPN har da også selv brugt formuleringer som at revisionen dækker “den undersøgte periode” snarere end en permanent tilstand. Det er derfor, gentagne revisioner år efter år vejer tungere end en enkelt rapport, fordi de viser et mønster over tid frem for et enkeltstående øjebliksbillede.

Revisionen i tal

Nedenfor er de centrale, bekræftede detaljer fra den sjette revision samlet i et overblik.

DetaljeData
Revisionsnummer6. i rækken siden 2018
RevisorDeloitte Litauen
StandardISAE 3000 (Revised)
Undersøgelsesperiode afsluttetDecember 2025
Rapport offentliggjortFebruar 2026
Undersøgt omfangServerkonfiguration, logningspipelines, adgangskontrol, DNS- og sessionstrafik
KonklusionIngen identificerbare aktivitetslogs fundet inden for det undersøgte omfang

NordVPN har tidligere formuleret formålet med sine revisioner ret direkte. Som virksomheden selv skrev i forbindelse med en af sine tidligere revisioner: “Several months ago, we promised a major independent audit to back up the claims we make about our product – that we don’t log identifiable user information under any circumstances,” og videre at “the auditors’ goal was to see if our service lives up to our claims of providing a no-logs VPN service, and we believe we’ve passed the test” (kilde). Selve revisorernes sprogbrug er typisk formel og afgrænset. I en tidligere ISAE 3000-rapport fra Deloitte om NordVPN lød konklusionen: “Based on the procedures performed and the evidence obtained, in our opinion, the configuration of IT systems and management of the supporting IT operations is properly prepared, in all material respects in accordance with the Nordvpn’s description” (kilde). Formuleringen fra 2026-rapporten følger samme skabelon, blot med opdateret dato og omfang.

GDPR-håndhævelsen sætter rekord i 2026

Mens VPN-branchen bruger uafhængige revisioner til at opbygge tillid, går udviklingen i den anden ende af privatlivslandskabet den modsatte vej. Ifølge CMS Laws GDPR Enforcement Tracker Report, med skæringsdato 1. marts 2026, er der nu registreret 2.685 GDPR-bøder i EU/EØS, en stigning på 440 sager sammenlignet med sidste års rapport. Det samlede bødebeløb er nået op på cirka 6,11 milliarder euro, en stigning på 487,6 millioner euro på et enkelt år. Den gennemsnitlige bøde ligger på omkring 2.277.122 euro, hvilket illustrerer, hvor store økonomiske risici virksomheder, der håndterer persondata, i dag lever under.

Den stigende håndhævelse rammer også Norden. Vi har tidligere dækket, hvordan GDPR-bøder i EU nu kan nå op til 20 millioner euro i de groveste sager, og hvordan norske Elkjøp fik en bøde på 20 millioner NOK for brud på databeskyttelsesreglerne. Det nordiske mønster er tydeligt: Tilsynsmyndighederne slår hårdere ned, samtidig med at forbrugerne bliver mere bevidste om, hvilke virksomheder der rent faktisk kan dokumentere deres sikkerhedspraksis.

Danmark: Region Syddanmark dømt for sikkerhedsbrist

Herhjemme kom en af årets mest opsigtsvækkende sager fra Vestre Landsret. Den 23. marts 2026 stadfæstede retten en tidligere dom fra Retten i Kolding, hvor Region Syddanmark blev fundet skyldig i brud på GDPR-artikel 32 om behandlingssikkerhed. Sagen startede allerede den 23. december 2024, hvor Region Syddanmark blev idømt en bøde på 1 million kroner for utilstrækkelige sikkerhedskontroller. At en offentlig myndighed skal igennem det danske straffesystem for et databrud, er i sig selv usædvanligt sammenlignet med resten af EU, hvor de fleste tilsynsmyndigheder selv kan udstede administrative bøder.

Sagen mod Region Syddanmark er relevant for denne artikel, fordi den viser den anden side af samme mønt som NordVPNs revision: Hvor VPN-udbydere frivilligt lader sig kontrollere for at opbygge tillid, bliver offentlige myndigheder og virksomheder i stigende grad tvunget til det gennem retssystemet, når de fejler.

Civilstyrelsen mister følsomme data på en USB-nøgle

En anden dansk sag fra sommeren 2026 illustrerer, hvor lavpraktiske fejl kan koste dyrt. Den 14. juli 2026 blev Civilstyrelsen, en dansk statslig myndighed, pålagt en bøde på 13.450 euro efter at have mistet en ukrypteret USB-nøgle med følsomme personoplysninger. Sagen understreger noget, som både NordVPNs revisorer og danske tilsynsmyndigheder gentager igen og igen: Kryptering og grundlæggende datahåndtering er ikke valgfrit, men et minimumskrav, uanset om man er en global tech-virksomhed eller en dansk statsinstitution.

Datatilsynet har også tidligere anbefalet en bøde på 1,2 millioner kroner mod taxiselskabet Taxa 4×35 for at opbevare data fra 9 millioner ture længere end selskabets egen sletteregel tillod. Vi har tidligere set nærmere på, hvordan Datatilsynet strammer kravene til cookie-samtykke med bøder på op til 4 procent af den globale omsætning som øverste ramme.

Sådan adskiller det danske bødesystem sig fra resten af EU

Danmark har en model, der skiller sig markant ud fra de fleste andre EU-lande. Datatilsynet kan ikke selv udstede en administrativ bøde. I stedet anmelder myndigheden sagen til politiet med en anbefalet bødestørrelse, og det er domstolene, der til sidst afgør det endelige beløb. Det er en af grundene til, at danske GDPR-sager ofte tager længere tid end i lande som Tyskland eller Frankrig, hvor tilsynsmyndighederne selv kan træffe afgørelse.

Til trods for den anderledes proces gælder de samme øvre grænser som i resten af EU: op til 20 millioner euro eller 4 procent af den globale årsomsætning, alt efter hvad der er højest. For virksomheder som NordVPN, der opererer på tværs af hele det europæiske marked, betyder det, at en dansk sag i praksis kan koste lige så meget som en tysk eller fransk, blot gennem en anden juridisk vej.

GDPR-tal for Norden og EU i 2026

For at give et samlet billede af, hvor presset ligger i øjeblikket, har vi samlet de vigtigste tal fra både det europæiske og det danske niveau i tabellen nedenfor.

NøgletalVærdi
Samlede GDPR-bøder i EU/EØS (pr. 1. marts 2026)2.685 sager, cirka 6,11 mia. euro
Stigning i antal sager år over år+440 sager
Gennemsnitlig bøde pr. sagCirka 2.277.122 euro
Region Syddanmark (Danmark, marts 2026)1 mio. kr., brud på artikel 32
Civilstyrelsen (Danmark, juli 2026)13.450 euro, ukrypteret USB-nøgle
Taxa 4×35 (Danmark, anbefalet)1,2 mio. kr., data fra 9 mio. ture opbevaret for længe

Tallene viser en tydelig tendens: Håndhævelsen stiger både i volumen og i beløb, og danske sager, som ofte går gennem domstolene frem for direkte administrative afgørelser, ender alligevel med markante bøder. Det gør uafhængige revisioner som NordVPNs endnu mere værdifulde som differentieringspunkt over for forbrugere, der i stigende grad er klar over, hvad det koster at håndtere data forkert.

Password managers under pres: Tillid skal bevises igen og igen

NordVPNs revision kommer også i en periode, hvor tilliden til andre kategorier af privatlivsværktøjer er blevet udfordret. Vi har tidligere skrevet om, hvordan forskere fra ETH Zürich fandt 25 forskellige angrebsscenarier mod password managers som Bitwarden, LastPass og Dashlane. Sagen minder om en central pointe, som også gælder for VPN-tjenester: Et sikkerhedsprodukt er kun så godt som dets seneste, uafhængige gennemgang, og selv velkendte, populære værktøjer kan have sårbarheder, der først opdages, når nogen udefra går dem efter i sømmene.

Forskellen mellem de to sager er interessant. Hvor password manager-sårbarhederne blev fundet af uafhængige, eksterne forskere uden virksomhedernes opfordring, er NordVPNs revision bestilt og betalt af virksomheden selv. Begge modeller har værdi, men de svarer på forskellige spørgsmål: Den ene tester, om et produkt kan angribes udefra. Den anden tester, om virksomheden lever op til sine egne løfter. Hvis man vil vælge password manager efter samme logik som en revideret VPN, kan man kigge på vores sammenligning af Bitwarden og 1Password.

VPN-markedet i Norden: Konkurrence og forbrugertillid

NordVPN er langtfra den eneste udbyder, der bruger revisioner som konkurrenceparameter i Norden. Proton VPN har for eksempel netop bestået sin femte no-logs-revision, hvor revisorerne gennemgik 47 dataanmodninger fra myndigheder og fandt, at der ikke var noget data at udlevere, fordi tjenesten ganske enkelt ikke logger det. Vi har dækket Proton VPNs femte audit i detaljer tidligere. Det betyder, at to af de mest brugte VPN-tjenester blandt danske og nordiske forbrugere nu begge kan pege på flere års sammenhængende, uafhængig dokumentation.

Det skaber et pressionspunkt for resten af markedet. Forbrugere, der sammenligner tjenester, kigger i stigende grad ikke kun på pris og serverantal, men også på, hvor ofte og hvor grundigt en udbyder lader sig kontrollere. Vi har tidligere sammenlignet NordVPN og Surfshark på pris og serverantal, og revisionshistorik er nu et lige så vigtigt sammenligningspunkt som antallet af servere eller den månedlige pris.

Historisk kontekst: Fra 2018 til i dag

NordVPNs revisionsrække startede i 2018, dengang som en af de første i branchen til at lade en ekstern revisor kigge sin logningspraksis efter. Det var en direkte reaktion på en periode, hvor VPN-branchen generelt led under et image som en usikret niche fyldt med ubekræftede løfter om privatliv. Siden da har flere større udbydere fulgt trop, og revisioner udført af anerkendte revisionsfirmaer er gået fra at være en sjældenhed til nærmest en forudsætning for at blive taget seriøst af virksomhedskunder og mere teknisk bevidste forbrugere.

Den sjette revision markerer derfor ikke et vendepunkt i sig selv, men en fortsættelse af en strategi, der har varet otte år. Det er netop gentagelsen, der gør forskellen: En enkelt revision kan være et øjebliksbillede, men seks revisioner over otte år begynder at ligne et mønster, virksomheden reelt lever op til, snarere end en enkeltstående markedsføringsindsats.

Markedsanalyse: Hvad det betyder for VPN-branchens forretningsmodel

For VPN-branchen som helhed er revisioner blevet en del af selve forretningsmodellen, ikke bare en eftertanke i markedsføringen. Når en virksomhed som NordVPN betaler for gentagne ISAE 3000-revisioner fra et Big Four-selskab som Deloitte, er det en investering, der skal retfærdiggøres gennem øget kundetillid og lavere churn. I et marked, hvor prisen på et abonnement ofte kan halveres gennem tilbud og kampagner, bliver revisionshistorik en af de få differentieringsfaktorer, der er svære at kopiere hurtigt.

Samtidig lægger det pres på mindre udbydere uden samme økonomiske muskler til at betale for gentagne Big Four-revisioner. Det kan på sigt skabe en todeling af markedet, hvor et mindre antal store, veldokumenterede udbydere tiltrækker den mest sikkerhedsbevidste del af markedet, mens resten konkurrerer primært på pris. For danske og nordiske forbrugere, der historisk har været villige til at betale lidt mere for dokumenteret sikkerhed, kan det betyde, at de store, reviderede udbydere styrker deres position yderligere i 2026 og fremover.

Fem forudsigelser: Hvad sker der næste i VPN- og GDPR-revisioner

  • Flere VPN-udbydere vil offentliggøre årlige revisioner. Med både NordVPN og Proton VPN på seks og fem sammenhængende revisioner bliver et fast, årligt revisionsritual snarere reglen end undtagelsen blandt de større udbydere.
  • GDPR-bødebeløbet i EU vil fortsætte med at stige gennem 2026. Med en stigning på 440 sager og 487,6 millioner euro på et år er der intet, der tyder på, at kurven flader ud foreløbig.
  • Danmark vil se flere sager mod offentlige myndigheder. Sagerne mod Region Syddanmark og Civilstyrelsen understreger, at det ikke kun er private techvirksomheder, der bliver ramt af domstolenes GDPR-afgørelser.
  • Password manager-branchen vil opleve lignende pres om uafhængig verifikation. Efter afsløringen af sårbarheder i flere store password managers er det sandsynligt, at flere udbydere vil investere i tilsvarende revisioner som svar på tabt tillid.
  • Revisionsstandarden ISAE 3000 vil blive mere udbredt uden for VPN-branchen. Andre kategorier af privatlivsværktøjer, fra krypteret e-mail til password managers, vil sandsynligvis i stigende grad benytte samme standard for at signalere troværdighed over for forbrugere og virksomhedskunder.

Sådan vurderer du selv en no-logs-påstand

Hvis man som forbruger eller virksomhed skal vurdere, om en VPN-udbyders “no-logs”-påstand faktisk holder, er der nogle konkrete ting at kigge efter. Se først på, om revisionen er gentaget over flere år, og ikke kun en enkeltstående begivenhed. Tjek dernæst, hvilken standard der er brugt, ISAE 3000 er et solidt udgangspunkt, men ikke det eneste gyldige. Læs desuden revisionens afgrænsning: Dækker den kun logningspraksis, eller også bredere sikkerhedskontroller? Endelig bør man kigge efter, om revisionsfirmaet er et anerkendt, uafhængigt navn som Deloitte, PwC eller KPMG, frem for et mindre kendt selskab uden sporbar track record.

Ingen revision er en absolut garanti. Den fortæller kun, hvad revisoren fandt inden for den periode og det omfang, der blev undersøgt. Men gentagne, konsistente resultater over flere år, som i NordVPNs tilfælde, giver et betydeligt stærkere grundlag for tillid end en virksomheds egne, uafprøvede påstande.

Ofte stillede spørgsmål

Hvad er en no-logs-revision?

En no-logs-revision er en uafhængig gennemgang, hvor et revisionsfirma undersøger, om en VPN-udbyders systemer og processer faktisk understøtter påstanden om, at ingen identificerbare brugeraktiviteter bliver logget eller gemt.

Hvem har udført NordVPNs sjette revision?

Deloitte Litauen gennemførte revisionen i december 2025 efter standarden ISAE 3000 (Revised), og rapporten blev offentliggjort i februar 2026.

Er en ISAE 3000-revision det samme som en sikkerhedscertificering?

Nej. ISAE 3000 er en afgrænset assurance-erklæring, der undersøger det, virksomheden selv har bedt om at få gennemgået, i dette tilfælde logningspraksis. Den er ikke en fuld penetrationstest af hele infrastrukturen.

Hvor mange GDPR-bøder er der givet i EU i 2026?

Ifølge CMS Laws GDPR Enforcement Tracker Report var der pr. 1. marts 2026 registreret 2.685 bøder i EU/EØS med et samlet beløb på cirka 6,11 milliarder euro.

Hvorfor kan Datatilsynet ikke selv udstede GDPR-bøder i Danmark?

Danmark bruger en strafferetlig model, hvor Datatilsynet anmelder sager til politiet med en anbefalet bødestørrelse, mens domstolene afgør det endelige beløb. Det adskiller sig fra de fleste andre EU-lande, hvor tilsynsmyndighederne selv kan udstede administrative bøder.

Har andre VPN-udbydere end NordVPN bestået lignende revisioner?

Ja. Proton VPN har for eksempel bestået sin femte no-logs-revision, hvor revisorerne blandt andet gennemgik 47 myndighedsanmodninger om data uden at finde noget at udlevere.

Betyder revisionen, at NordVPN aldrig kan blive hacket eller kompromitteret?

Nej. Revisionen bekræfter kun, at der inden for det undersøgte omfang og den undersøgte periode ikke blev fundet identificerbare logs. Den siger ikke noget om fremtidig sikkerhed eller garanterer mod alle former for angreb.

Hvad skal jeg som dansk bruger kigge efter, når jeg vælger VPN eller password manager?

Kig efter gentagne, uafhængige revisioner over flere år, en anerkendt revisor og en klar beskrivelse af, hvad revisionen faktisk dækker. Kombiner det med at følge nyheder om sårbarheder, som dem der er fundet i flere populære password managers.