NIS2‑krav om penetrationstest:
svar til leverandøren
Kravet om en penetrationstest kommer ikke nødvendigvis direkte fra loven. Det kommer fra en kunde, der selv er omfattet af NIS2 og skal kunne vise, at risikoen ved leverandørerne er vurderet. nis2-pentest.dk er skrevet til jer, der står for enden af den kæde: driftsleverandøren, softwarehuset, installatøren eller underleverandøren, som har fået et brev, et kravbilag eller et spørgeskema med henvisning til NIS2.
Det korte svar: NIS 2-loven pålægger den omfattede kunde at have foranstaltninger for forsyningskædesikkerhed og procedurer til at vurdere, om foranstaltningerne er effektive (§ 6, stk. 1, nr. 4 og 6). En test af jeres leverance er én måde, kunden kan få svar på. Hvad I skal levere, afgøres derfor af aftalen med kunden og ikke af lovteksten alene.
Hvad reglerne siger, og hvad de ikke siger
Ordet penetrationstest står ikke i lovens paragraffer. Det står i bemærkningerne til § 6, nr. 6, som et eksempel på en teknisk test ved siden af sårbarhedsscanning. Reglerne fastsætter hverken et fast interval, en bestemt testtype eller en pligt for leverandører til at blive testet på en bestemt måde.
Det gør ikke kundens krav urimeligt. Kunden kan have gode grunde til at bede om netop en penetrationstest, og står kravet i jeres aftale, er det aftalen, der binder. Men det giver jer et grundlag for at spørge, hvad testen skal belyse, og hvorfor den passer til jeres leverance.
→ NIS2 kort fortalt for leverandører · Hvorfor kræver kunden en penetrationstest med henvisning til NIS2? · Det, NIS2 ikke siger om penetrationstest · NIS 2-lovens § 6
Når brevet fra kunden lander
Et NIS2-brev kan blande flere ting: krav om test, om politikker, om besked ved hændelser og om kundens ret til revision. Del dem op, før I bestiller noget, så testen kun skal svare på testkravet. Er I ikke selv omfattet, kommer jeres pligter fra aftalen. Styrelsen for Samfundssikkerheds vejledning om lovens anvendelsesområde beskriver, at kunden ikke skal stille præcis de samme krav til leverandøren, som kunden selv er underlagt, og at kravene bør stå i forhold til den risiko, leverancen udgør.
→ Guide: fra kundens NIS2-brev til afleveret dokumentation · Kundens brev om NIS2: sådan deler I kravene op · Forordningens kontraktpunkter · Hvad en NIS2-kunde ikke kan forvente af en leverandør
Det, kunden er afhængig af, er det, der testes
Kunden interesserer sig ikke nødvendigvis for hele jeres virksomhed. Interessen gælder de steder, hvor leverancen kan påvirke kundens drift eller data: supportadgangen ind til kunden, portalen, som kundens medarbejdere logger på, integrationer og de værktøjer, I administrerer kunden med. Det er også dér, en test giver kunden et brugbart svar på spørgsmålet om effektivitet.
Hyppigheden følger risikoen. For de digitale udbydere, forordning (EU) 2024/2690 gælder for, fastlægges behov, omfang, hyppighed og type af sikkerhedstest ud fra risikovurderingen (bilagets punkt 6.5.2, litra a). Ændringer i leverancen kan derfor betyde mere end en dato i kalenderen.
→ Hvilke systemer forventer NIS2-kunden testet? · Effektivitet af foranstaltninger · Testfrekvens efter risiko
Det, kunden skal have bagefter
Kunden skal kunne bruge resultatet i sin egen leverandørvurdering og i sidste ende forklare det for sin myndighed. Det kræver ikke nødvendigvis hele rapporten, men et dokument, der viser testens type, omfang, tidspunkt og resultat og status på rettelserne. Skriv samtidig grænserne tydeligt: en test viser, hvad en afgrænset undersøgelse fandt på et bestemt tidspunkt. Den viser ikke, at I eller kunden overholder NIS2.
→ Dokumentationen efter en NIS2-begrundet test · Fire oplysninger om testen · Hvad testdokumentationen ikke kan bevise · NIS2-erklæringen fra revisor og testen
Fund, hændelser og leddene bag jer
Finder testen noget, der berører kunden, afgør aftalen, hvornår og hvordan kunden skal have besked. Lovens frister for hændelsesunderretning i §§ 12 og 13 gælder den omfattede kunde, men kunden kan kun nå dem, hvis I melder hurtigt. Driftsleverandører kan desuden selv være omfattet, og kunder i energi, tele og finans hører efter § 1, stk. 2, under andre regler. Derfor kan samme leverandør få vidt forskellige krav fra kunder i forskellige sektorer.
→ Kritisk fund, der berører kunden · Kundens 24 timer · MSP og NIS2 · Sektorernes forskelle
Nielco IT står bag
nis2-pentest.dk er en del af Nielco IT. Nielco IT er John Nielsen, én konsulent, selvstændig siden 2009 og med mere end 30 års erfaring med IT-sikkerhed fra blandt andet finanssektoren, offentlige myndigheder og kritisk infrastruktur. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, og en fortrolighedsaftale underskrives på forespørgsel.
Sitet forklarer den tekniske afprøvning i NIS2-sammenhæng. Det giver ikke juridisk rådgivning og lover ikke, at en test opfylder et krav. Generel viden om, hvad en penetrationstest er, og hvordan et forløb er bygget op, findes på penetrationtest.dk.
→ Alle artikler · Spørgsmål og svar · Om sitet
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
