Åbne fund på afleveringstidspunktet: hvad I skriver til kunden

Testresultatet skal til kunden, men ikke alle fund er rettet endnu. Det er den normale situation, ikke en undtagelse, for rettelser tager tid, og kunden kan have en dato for aflevering i aftalen. Svaret er at aflevere til tiden og skrive tydeligt, hvad der er åbent, hvad det betyder for kunden, hvad der er gjort i mellemtiden, og hvornår det forventes rettet.

Grundlaget er kundens egne pligter. En kunde, der er omfattet af gennemførelsesforordning (EU) 2024/2690, skal efter bilagets punkt 6.10.3 have en plan for at afhjælpe sårbarheder, når den potentielle indvirkning berettiger det, og punkt 5.1.4, litra f, nævner en pligt for leverandøren til at håndtere sårbarheder, der udgør en risiko for kundens systemer. Andre NIS2-kunder har tilsvarende anbefalinger i SAMSIK’s vejledning om foranstaltninger. Teksten er ikke juridisk rådgivning.

Vent ikke med at aflevere

Det er fristende at holde testresultatet tilbage, til de alvorligste fund er rettet. Det er ikke nødvendigvis en god idé. Kunden har måske brug for resultatet til sin egen opfølgning på en bestemt dato, og en forsinket aflevering uden forklaring vækker mere bekymring end et åbent fund med en plan.

Kunden har også en grund til at ville se de åbne fund hurtigt. Forordningens punkt 2.1.2, litra d, beder kunden afdække risici, navnlig i forbindelse med tredjeparter. Et åbent fund i jeres leverance er præcis sådan en risiko, og kunden kan først vurdere den, når kunden kender den. Får kunden fundene sent, er det kundens risikovurdering, der halter bagefter, ikke kun jeres rettelser.

Der er en vigtig undtagelse: Er et fund så alvorligt, at det kan ramme kunden nu, skal kunden måske have besked med det samme, uafhængigt af den samlede aflevering. Det afgør aftalen og fundets karakter, og det er en særskilt situation. → Kritisk fund, der berører kunden

Hvad kunden skal kunne læse om hvert åbent fund

For hvert fund, der ikke er rettet, når testresultatet afleveres, bør kunden kunne se:

Hvad fundet er · kort, i et sprog kunden kan bruge i sin egen vurdering.
Hvad det betyder for kunden · om fundet kan påvirke kundens data, adgange eller drift, eller kun jeres egne systemer.
Midlertidigt tiltag · hvad der er gjort for at mindske risikoen, indtil fundet er rettet.
Plan · hvad der skal ændres, hvem der har ansvaret, og hvornår det forventes færdigt.
Efterprøvning · om og hvornår rettelsen bliver kontrolleret.
Kundens del · om kunden selv kan gøre noget, fx ændre en indstilling i sin egen ende.

Det sidste punkt kan blive overset. Nogle fund kan afbødes delvist af kunden selv, og en kunde, der får besked om det, kan handle i stedet for at vente. → Midlertidige tiltag, når en rettelse tager tid

Følgebrevet til testresultatet

Den letteste form er et kort følgebrev, der ligger oven på rapporten eller erklæringen. Det samler de åbne fund ét sted og siger, hvordan kunden får besked om status fremover. Følgebrevet er dateret og henviser til rapporten, så det er klart, hvilken test det handler om.

Skriv ikke følgebrevet som en undskyldning. Skriv det som en plan. Kunden skal bruge det til at vurdere, om risikoen ved jer som leverandør er acceptabel, mens rettelserne er undervejs, og den vurdering er lettere, når planen er konkret. Brevet kan med fordel opdeles i fund, der berører kunden direkte, og fund, der kun berører jeres interne systemer. → Status på rettelser

Datoer, I kan holde

En plan uden dato er ikke en plan, men en dato, I ikke kan holde, er værre. Forordningens punkt 6.10.2, litra c, siger, at sårbarheder af kritisk betydning for driften afhjælpes uden unødig forsinkelse. Udtrykket er ikke en frist i dage, og det er kundens drift, der afgør, hvad der er kritisk for kunden.

Står der en frist i aftalen, er det den, I skal forholde jer til. Kan I ikke nå den, så skriv det i følgebrevet med en begrundelse og en ny dato, i stedet for at håbe, at kunden ikke spørger. En kunde, der får besked i tide, kan tilpasse sin egen vurdering. En kunde, der opdager en overskredet frist selv, mister tillid til resten af dokumentationen. → Kundens frister for rettelser

Når et fund ikke skal rettes

Nogle åbne fund bliver ikke rettet. Det kan være, fordi risikoen er lav, fordi rettelsen kræver en større ændring, eller fordi en anden foranstaltning dækker risikoen. Så skal følgebrevet sige, at fundet er tænkt accepteret, og hvorfor. Punkt 6.10.3 kræver, at en kunde under forordningen dokumenterer og begrunder, hvorfor en sårbarhed ikke kræver afhjælpning, og kunden skal kunne bruge jeres begrundelse til det. Skriv også, om I forventer, at kunden selv tager stilling til accepten. → Et fund, I ikke retter

Et tænkt eksempel

En leverandør af et system til lagerstyring hos en grossist i fødevarer afleverer sin testrapport med seks fund, hvoraf tre er åbne. Det ene åbne fund betyder, at en bruger med læseadgang hos grossisten kan se flere oplysninger end nødvendigt.

Følgebrevet beskriver de tre åbne fund. For det første står der, at leverandøren har begrænset den berørte visning midlertidigt, at rettelsen kommer i næste udgivelse med en dato, og at grossisten selv kan gennemgå, hvilke brugere der har læseadgang. De to andre fund berører kun leverandørens interne udviklingsmiljø og er beskrevet kort. Grossisten registrerer det åbne fund i sin egen leverandøropfølgning og lukker det, da retesten foreligger.

Det skal I lade være med

At holde rapporten tilbage uden besked · kunden har brug for at vide, hvad der foregår.
At skrive åbne fund som rettede · en planlagt rettelse er ikke en rettelse.
At love datoer, I ikke kan holde · skriv en realistisk dato og en begrundelse.
At glemme kundens egen rolle · sig, hvis kunden selv kan mindske risikoen.
At blande interne og kundenære fund sammen · kunden skal se, hvad der vedrører kunden.

Hvad kan og ikke kan konkluderes

Et følgebrev med plan, datoer og midlertidige tiltag gør et testresultat med åbne fund brugbart for kunden fra første dag. Det viser ikke, at rettelserne vil virke, og det fjerner ikke risikoen, før de er gennemført og efterprøvet. Om kunden accepterer planen, er kundens beslutning. → Retest som dokumentation over for kunden

Tjekliste til følgebrevet

☐ Er alle åbne fund nævnt med reference til rapporten?
☐ Står det, om hvert fund berører kunden direkte?
☐ Er midlertidige tiltag beskrevet?
☐ Har hvert fund en plan med dato og ansvarlig?
☐ Står det, hvad kunden selv kan gøre?
☐ Er det aftalt, hvordan kunden får opdateret status?

Kilder

Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 2.1.2, litra d, 5.1.4, litra f, 6.10.2, litra c, og 6.10.3.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om leverandørers pligt til at håndtere sårbarheder og 6.b om kompenserende handlinger.

Senest gennemgået: oktober 2026.