Opbevaring af regnskabsmateriale i skyen

Må regnskabsmateriale opbevares i skyen?

Det er en af de mest oversete lempelser i den nye bogføringslov. Indtil 1. juli 2022 skulle regnskabsmateriale som udgangspunkt opbevares her i landet, og opbevaring i udlandet krævede, at en række betingelser var opfyldt — blandt andet at systembeskrivelser og adgangskoder lå i Danmark. Med lov nr. 700 af 24. maj 2022 faldt den konstruktion væk. Lovens § 34, stk. 1, satte §§ 1–14 og §§ 21–23 i kraft 1. juli 2022, og i det nye kapitel om opbevaring står der intet om geografi.

Erhvervsstyrelsen formulerer det sådan, at virksomheder »kan opbevare deres regnskabsmateriale elektronisk i ind- og udland uden forudgående ansøgning eller anmeldelse til offentlige myndigheder, såfremt de opfylder en række nærmere fastsatte krav«. Det er de krav, resten af denne artikel handler om — for de er ikke blevet mildere, de er blevet flyttet: fra en tilladelse på forhånd til et ansvar, I selv skal kunne dokumentere bagefter.

Der er én vigtig undtagelse fra den geografiske frihed. Bruger I et digitalt bogføringssystem, der ikke er registreret hos Erhvervsstyrelsen, skal sikkerhedskopien efter bekendtgørelse nr. 205 af 29. februar 2024 ligge »hos en ikke nærtstående part« på »en server i et EU- eller EØS-land«. Selve regnskabsmaterialet må altså gerne ligge uden for EU — men den lovpligtige kopi må ikke.

Hvor relevant det er, siger tallene: 72 procent af Dansk Erhvervs medlemmer købte cloudtjenester i februar 2025, 56 procent havde e-mailen i skyen, og 47 procent brugte Microsoft Azure. Samtidig peger analysen på tekniske hindringer — manglende interoperabilitet og dataportabilitet — som den største barriere for at skifte leverandør. Netop dataportabilitet er det, opbevaringspligten står og falder med.

Hvad tæller egentlig som regnskabsmateriale?

Her opstår de fleste huller. Virksomheder har typisk styr på bilagene, fordi de ligger i regnskabssystemet og bliver låst ved årsafslutningen. Men § 4, nr. 2, 4 og 5 peger på materiale, der sjældent ligger i et system med opbevaringspolitik: beskrivelsen af hvordan I bogfører, de mails og aftaler der forklarer en postering, og regnearkene bag et skøn i årsrapporten.

Læg mærke til, at bilag er defineret bredt. Lovens § 3 kalder et bilag »enhver nødvendig dokumentation for transaktioner, der registreres i bogføringen«, og § 9, stk. 2, kræver at bilaget tydeligt angiver transaktionsdato og beløb. Foretages der rettelser i bilagsmaterialet, skal både det oprindelige indhold og selve ændringen fremgå — en detalje, der gør det uacceptabelt at overskrive en fil i en delt mappe uden versionsstyring.

Skal I bruge kortlægningen til noget større, er den også udgangspunktet for et systemvalg. Vi har samlet kriterierne i gennemgangen af bogføringsloven og valget af økonomisystem, og for personligt ejede virksomheder og foreninger er reglerne beskrevet i artiklen om digital bogføring for enkeltmandsvirksomheder og foreninger.

Hvor længe skal materialet gemmes?

Fem år er 1.825 dage. Det tal er værd at holde op mod de opbevaringsvinduer, cloudtjenester leverer som standard: en versionshistorik på 30 dage, en papirkurv på 93 dage, et gendannelsesvindue på et år. Ingen af dem rækker. Og fordi perioden regnes fra udgangen af regnskabsåret og ikke fra bilagsdatoen, er det tidligste lovlige slettetidspunkt altid senere, end folk tror.

Der er én undtagelse i loven. § 12, stk. 2, fastsætter, at opbevaringsperioden ikke gælder for »detailhandelsvirksomheders kassestrimler og tilsvarende interne bilag«. Den undtagelse dækker ikke salgsdata i kassesystemet, ikke z-rapporter der bruges som bogføringsgrundlag, og ikke bilag fra leverandører. Den er snævrere, end den ofte bliver brugt.

Hvad betyder »på betryggende vis«?

§ 13 lyder ordret: »Virksomheder skal sikre, at regnskabsmaterialet ikke ødelægges, bortskaffes eller forvanskes, ligesom det skal sikres mod fejl og misbrug.« Ordet forvanskes er det interessante. Det rækker længere end tab: et regneark, hvor en formel er blevet ændret to år efter, er forvansket, selv om filen stadig findes. Derfor hænger kravet sammen med versionsstyring og med kravet i § 9, stk. 3, om at rettelser skal kunne ses.

Erhvervsstyrelsen bruger i sin vejledning formuleringen om at etablere de »nødvendige interne kontroller til sikring mod, at regnskabsmaterialet bevidst eller ubevidst ødelægges, forvanskes eller forsvinder«. Datatilsynet går et skridt videre på backupsiden og skriver i sit katalog over foranstaltninger: »Backup er meget mere end en kopi af data og kan derfor også beskytte imod flere trusler.« Tilsynet kræver, at det testes, om data kan genindlæses og anvendes i et it-system, og at kopien ligger et sted med mere begrænset adgang.

• Adgangsstyring: ikke alle skal kunne slette i bilagsarkivet. Sletterettigheder er en særskilt rolle.
• Versionsstyring: en overskrevet fil er en forvansket fil. Slå versionshistorik til alle steder, hvor regnskabsmateriale lever.
• Kopi uden for systemet: en papirkurv i samme platform er ikke en kopi — den følger platformen ned.
• Testet gendannelse: en backup, der ikke er prøvet, er en antagelse. Vores anbefaling er mindst én dokumenteret testgendannelse om året.
• Dokumenteret procedure: § 4, nr. 2, kræver selve beskrivelsen opbevaret — den er også regnskabsmateriale.
• Uafhængighed af enkeltpersoner: ligger den eneste adgang hos én medarbejders konto, er materialet ikke betryggende opbevaret.
• Exitplan: I skal kunne få materialet ud i læsbar form, også hvis aftalen ender i uvænskab.

Hvilke krav er der til sikkerhedskopien?

Bekendtgørelsen gælder virksomheder, der er omfattet af bogføringslovens § 16, stk. 1, og som bruger et system efter § 16, stk. 2, nr. 2 — altså et system, der ikke står i Erhvervsstyrelsens offentlige fortegnelse over registrerede bogføringssystemer. Kravet er reelt en oversat version af, hvad et registreret system skal kunne i forvejen efter lovens § 15, nr. 2: opfylde anerkendte standarder for it-sikkerhed og sikre automatisk sikkerhedskopiering.

Erhvervsstyrelsen præciserer to ting, der ofte misforstås. For det første skal kopien tages af alle bogførte transaktioner og bilag — ikke kun de nye — medmindre der ikke er bogført noget siden sidste kopi. For det andet må data godt ligge komprimeret og krypteret; styrelsen skriver, at virksomheden til enhver tid skal kunne udlevere data til myndigheder »i et læsbart format«. Kryptering er altså ikke en undskyldning for, at udleveringen tager tre uger.

Datoerne er værd at holde styr på, fordi de er passeret og altså gælder nu. Pligten til digital bogføring ramte først virksomheder med pligt til at aflægge årsrapport, dernæst virksomheder på ikke-registrerede systemer fra 1. januar 2025, og endelig personligt ejede virksomheder og foreninger med en nettoomsætning over 300.000 kr. i to på hinanden følgende år fra 1. januar 2026. Bruger I Microsoft 365 som arkiv, har vi regnet hullet igennem i artiklen om backup af Microsoft 365 og bogføringsloven. Og kigger I fremad, kommer næste formatændring med SAF-T 2.0 fra 1. januar 2027.

Hvad kan myndighederne kræve udleveret?

§ 22 er den paragraf, der gør cloudopbevaring til et konkret driftsspørgsmål. Stk. 2 lyder ordret, at myndigheden kan forlange, at virksomheden »udleverer nærmere angivet regnskabsmateriale«, »udleverer det angivne regnskabsmateriale vederlagsfrit i et anerkendt filformat«, »omregner registreringer i fremmed valuta, herunder euro, til danske kroner« og »sørger for, at regnskabsmaterialet bortset fra eksterne bilag vederlagsfrit oversættes til dansk eller engelsk«. Stk. 3 slår fast, at det samme gælder, »hvis regnskabsmaterialet opbevares hos tredjepart«. Stk. 4 giver myndigheden retten til at sætte fristen.

To ord bærer hele risikoen: vederlagsfrit og anerkendt filformat. Vederlagsfrit betyder, at det ikke er myndigheden, der betaler for eksporten — heller ikke hvis jeres udbyder tager penge for et dataudtræk. Anerkendt filformat betyder et struktureret, læsbart format, der ikke kræver leverandørens eget program: i praksis XML, CSV og standarder bygget oven på dem, herunder SAF-T. Et PDF-print af en kontoudskrift er dårligere, fordi det ikke kan behandles maskinelt, og en propritær databasedump er værst.

Hvem bliver så kontrolleret? § 23 giver Erhvervsstyrelsen hjemmel til en risikobaseret kontrol og peger på to grupper: virksomheder omfattet af årsregnskabsloven, der ikke har indsendt deres første årsrapport, og virksomheder, der har fravalgt revision. Styrelsen kan efter stk. 2 kræve oplysninger og regnskabsmateriale fra nuværende og tidligere ledelse og revisor — og efter stk. 3 kræve en erklæring fra en godkendt revisor om, at loven er overholdt.

Sanktionen står i § 33. Overtrædelse af blandt andet § 12, stk. 1, og § 13 straffes med bøde, og ved udmålingen skal der tages hensyn til virksomhedens omsætning, overtrædelsens grovhed og varighed samt gentagelse. Ved særlig omfattende overtrædelser idømmes en skærpet bøde. Forældelsesfristen for strafansvaret er fem år — altså lige så lang som opbevaringspligten selv.

Hvem har ansvaret, når data ligger hos en leverandør?

Det er derfor, aftalen med udbyderen ikke bare er en indkøbssag. Erhvervsstyrelsen formulerer det direkte: virksomhedens ledelse er ansvarlig for, at regnskabsmateriale opbevares betryggende, uanset om opbevaringen sker internt eller hos tredjemand — revisor, bogføringsfirma eller cloududbyder. Og § 14 fører ansvaret videre efter, at virksomheden er lukket: ophører bogføringspligten, skal den senest fungerende ledelse sikre, at materialet fortsat opbevares.

I praksis er der seks punkter, der afgør om en cloudaftale holder til bogføringsloven. Vi bruger dem som tjekliste, når vi gennemgår en kundes opbevaring:

• Eksportformat på skrift: står der XML, CSV eller SAF-T i aftalen — eller står der intet?
• Pris på udtræk: koster et fuldt dataudtræk penge? Det gør det ikke lovligt at vente med at udlevere.
• Opbevaringstid: matcher tjenestens opbevaringsvindue de fem år, eller stopper det ved 30 dage, 90 dage eller et år?
• Placering og underleverandører: hvilke lande ligger data og kopier i? For ikke-registrerede systemer skal kopien ligge i EU eller EØS.
• Databehandleraftale: er der personoplysninger i materialet, skal aftalen leve op til artikel 28. Se vores tjekliste til databehandleraftalen med it-leverandøren.
• Adgang ved ophør: hvad sker der ved manglende betaling, opsigelse eller konkurs? Hvor lang tid har I til at hente data ud?

Det sidste punkt er det, der oftest gør ondt. En løbende abonnementsaftale gør opbevaringspligten afhængig af, at fakturaen bliver betalt hver måned i fem år. Vores anbefaling er derfor enkel: tænk ikke jeres cloudtjeneste som arkivet. Tænk den som arbejdsstedet — og sørg for, at der findes et arkiv ved siden af, som ikke forsvinder, når abonnementet gør.