Dokumentationen på et fast tidspunkt hvert år: hvad der kan genbruges

Nogle leverandører oplever, at NIS2-kunderne beder om den samme sikkerhedsdokumentation på omtrent samme tid hvert år. Det er fristende at sende sidste års pakke med en ny dato. Noget kan faktisk genbruges, men ikke det, kunden især kigger efter: resultater, status og en beskrivelse af leverancen, som den ser ud nu. Svaret hviler på, hvorfor kunden spørger igen, og det skyldes kundens egen pligt til at følge op på leverandører med planlagte mellemrum og ved væsentlige ændringer.

En fast pakke med faste og skiftende dele sparer tid og giver kunden noget, der kan sammenlignes. Teksten er ikke juridisk rådgivning.

Hvorfor kunden spørger hvert år

Bilaget til gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, fx cloud, datacentre og administrerede tjenester, men bruges som model af andre kunder. Punkt 5.1.6 beder enheden gennemgå sin politik for forsyningskædesikkerhed og overvåge og evaluere leverandørernes sikkerhedspraksis med planlagte mellemrum, samt når der sker væsentlige ændringer i drift eller risici.

ENISA’s tekniske vejledning til forordningen, som ikke er bindende, anbefaler, at kunden gennemgår sin politik for forsyningskædesikkerhed mindst en gang om året. Det kan forklare, hvorfor nogle kunder vælger en årlig rytme. Rytmen er kundens, ikke en regel i loven, og hverken NIS 2-loven eller forordningen kræver, at jeres leverance testes hvert år. Kunden kan godt bede om en årlig opdatering af dokumentationen og samtidig acceptere, at testen gennemføres efter en anden plan, når planen er begrundet i en risikovurdering. → Krav om årlig pentest

Det, der kan genbruges

Nogle dele af pakken er mere stabile og kan sendes igen, hvis de stadig er rigtige:

Beskrivelse af jeres testpolitik · hvordan I beslutter, hvad der testes, og hvor ofte.
Metodebeskrivelse · den metode eller standard, testene følger, så længe den ikke er skiftet.
Definitioner · jeres statusord og alvorlighedsskala.
Kontaktoplysninger · hvem kunden kontakter ved spørgsmål og ved hændelser, hvis personerne er de samme.
Pakkens opbygning · forsideark, resumé, fundliste og bilag i samme rækkefølge.

Har flere kunder hver sin skabelon, kan de faste dele stadig skrives én gang og kopieres ind, så svarene er ens på tværs af kunderne. Læs dem igennem, før de sendes. En kontaktperson, der er stoppet, eller en politik, der er ændret, er det første, kunden lægger mærke til. → Testpolitik

Det, der skal fornyes

Andre dele skal være aktuelle, hver gang pakken sendes:

Beskrivelsen af leverancen · hvilke dele, systemer og partnere der indgår i dag.
Seneste testresultat · med testperiode, omfang og fund.
Statuslisten · hvad der er rettet, planlagt og accepteret siden sidst.
Oversigten over underleverandører · hvis der er kommet nye til, eller nogle er faldet fra.
Planen for næste afprøvning · hvornår og hvorfor.

Den sidste del er lettest at glemme. Kunden vil ikke kun vide, hvad der er gjort, men også hvad der kommer. Planen behøver ikke være detaljeret, men den skal sige, hvilke dele af leverancen næste afprøvning forventes at dække, og omtrent hvornår den ligger, så kunden kan indarbejde den i sin egen opfølgning. → Status på rettelser

Når der er sket væsentlige ændringer

Har leverancen ændret sig væsentligt siden sidste test, er det ikke nok at sende samme testresultat med en ny statusliste. Forordningens punkt 5.1.6 nævner netop væsentlige ændringer i drift eller risici som en anledning til ny opfølgning. SAMSIK’s vejledning om foranstaltninger, afsnit 6.b, nævner, at systemer bør sikkerhedstestes ved opgradering eller ændringer, som enheden vurderer som væsentlige.

Beskriv ændringerne i pakken, og skriv, om de testede dele er berørt. Er der ændret i noget, testen dækkede, eller er der kommet nye dele til, som kunden er afhængig af, skal I tage stilling til, om der skal en ny afprøvning før næste planlagte test. → Væsentlig ændring og kundens krav

Giv pakken en ændringslog

En kort log øverst i pakken gør kundens arbejde lettere: hvad der er nyt siden sidste år, og hvad der er uændret. Kunden kan så læse de dele, der har ændret sig, og nøjes med at kontrollere resten. Det viser også, at pakken er gennemgået, og ikke blot sendt igen.

Loggen kan være få linjer: ny testperiode, to nye underleverandører, en ny integration og en ændret kontaktperson. Det er nok til, at kunden kan se, hvor opmærksomheden skal ligge. Skriv også, hvis intet er ændret i en del. Et udtrykkeligt uændret er mere værd for kunden end en tavshed, der kan betyde, at delen ikke er set igennem. Gem tidligere udgaver af pakken, så I kan svare, hvis kunden spørger til noget fra et tidligere år. → Hvad skal kunden have?

Et tænkt eksempel

En leverandør af et system til vedligeholdelsesplanlægning har fem kunder blandt danske vandselskaber, der alle beder om dokumentation i årets første kvartal. Første år laver leverandøren fem forskellige svar.

Andet år samler leverandøren en fast pakke: testpolitik, metode, skala og statusord ligger i en fast del, mens leverancebeskrivelse, testresultat, statusliste og plan fornyes. Øverst står en ændringslog. Et nyt modul til fjernaflæsning er kommet til i løbet af året og var ikke med i testen. Leverandøren skriver det i loggen og vedlægger en plan for en afgrænset test af modulet i andet kvartal. Tre af kunderne kvitterer uden spørgsmål, to beder om at få testresultatet for modulet, når det foreligger. Arbejdet med de fem svar tager nu en brøkdel af tiden fra første år.

Det skal I lade være med

At sende sidste års pakke med en ny dato · kunden opdager det, og tilliden lider.
At genbruge testresultatet efter væsentlige ændringer uden at sige det · skriv, hvad der er ændret.
At love en årlig test, fordi kunden spørger årligt · rytmen for dokumentation og for test er ikke nødvendigvis den samme.
At glemme planen for næste afprøvning · kunden vil vide, hvad der kommer.
At slette tidligere udgaver · de kan blive efterspurgt.

Hvad kan og ikke kan konkluderes

En fast pakke med en ændringslog gør det let for kunden at se, hvad der er nyt, og at følge jer over tid. Den kan ikke gøre et gammelt testresultat aktuelt, og genbrugte dele er kun rigtige, hvis de er gennemgået. Om kunden kræver en ny test, afhænger af kundens risikovurdering og jeres aftale. → Kundens løbende opfølgning på leverandører

Tjekliste før den årlige pakke sendes

☐ Er de faste dele læst igennem og stadig rigtige?
☐ Er leverancebeskrivelsen opdateret?
☐ Er testresultat og statusliste de seneste?
☐ Er væsentlige ændringer beskrevet, og er det vurderet, om de kræver ny afprøvning?
☐ Står planen for næste afprøvning i pakken?
☐ Er der en ændringslog øverst?