Udbyder af administrerede sikkerhedstjenester: hvad definitionen betyder for testen

Leverer I overvågning, firewalldrift, håndtering af sikkerhedshændelser eller anden løbende sikkerhedsydelse til andre virksomheder, kan I møde betegnelsen udbyder af administrerede sikkerhedstjenester. Den står i NIS 2-lovens § 3, nr. 33, og i lovens bilag 1, punkt 9, ved siden af udbydere af administrerede tjenester. Spørgsmålet er, hvad definitionen betyder for den sikkerhedstest, I selv skal have, og for de spørgsmål, jeres kunder stiller.

Svaret hviler på to forhold. Definitionen bygger oven på definitionen af administrerede tjenester, så begge skal læses sammen. Og NIS2-direktivets betragtning 86 forklarer, hvorfor netop denne type udbyder får særlig opmærksomhed: den er tæt integreret i kundernes drift og dermed selv et mål. Teksten er ikke juridisk rådgivning.

Definitionen i to trin

§ 3, nr. 33, siger, at en udbyder af administrerede sikkerhedstjenester er en udbyder af administrerede tjenester, der udfører eller yder assistance til aktiviteter vedrørende styring af cybersikkerhedsrisici. Første trin er altså definitionen i nr. 34: en enhed, der leverer tjenester i forbindelse med installation, administration, drift eller vedligeholdelse af ikt-produkter, net, infrastruktur, applikationer eller andre net- og informationssystemer, via assistance eller aktiv administration, hos kunden eller på afstand. Andet trin er, at tjenesten angår styring af cybersikkerhedsrisici.

Om en bestemt ydelse opfylder begge trin, er en vurdering, I må lave selv eller med rådgivning. Rækkefølgen er dog nyttig at kende: en sikkerhedsydelse, der ikke samtidig er en administreret tjeneste efter nr. 34, falder efter ordlyden ikke ind under nr. 33. Om størrelseskrav og andre betingelser: → MSP og NIS2

Hvad betragtning 86 siger

Direktivets betragtning 86 nævner udbydere af administrerede sikkerhedstjenester på områder som reaktion på hændelser, penetrationstest, sikkerhedsaudits og konsulentbistand. Den siger, at de spiller en særlig vigtig rolle i at hjælpe enheder med at forebygge, opdage, reagere på og reetablere sig efter hændelser. Den siger også, at de selv har været mål for cyberangreb og udgør en særlig risiko på grund af deres høje grad af integration i enhedernes drift. Væsentlige og vigtige enheder bør derfor udvise forøget omhu, når de vælger en sådan udbyder.

En betragtning er ikke en bindende regel, men den forklarer hensigten bag reglerne. For jer betyder den, at en NIS2-kunde har en god grund til at stille flere og mere detaljerede spørgsmål til jer end til en almindelig leverandør.

Jeres egne værktøjer er kernen

En sikkerhedsydelse bygger på adgang. Overvågningen kræver, at data fra kundens systemer sendes til jer. Driften af en firewall kræver administrative rettigheder. Håndtering af hændelser kan kræve, at I kan isolere maskiner hos kunden. Det er den adgang, der gør tjenesten nyttig, og det er den, der gør en svaghed hos jer alvorlig.

En test af jeres egen sikkerhedsydelse bør derfor dække:

Platformen, kunderne deler · den løsning, hvor data fra mange kunder samles og analyseres.
Adgangen ind til kunderne · forbindelser og konti, I bruger til at gribe ind.
Adskillelsen mellem kunder · om en kunde, eller en angriber hos en kunde, kan nå andre kunders data.
Analytikernes arbejdspladser · de maskiner og konti, hvorfra der arbejdes med mange kunder.
Leverandørerne bag jeres værktøjer · den del af platformen, der drives af andre.

→ Overvågning og SOC som tjeneste

Hvem tester sikkerhedsudbyderen?

En udbyder af sikkerhedstjenester kan selv have kompetencer inden for test. Det rejser et spørgsmål om uafhængighed. En intern test kan være nyttig, men en kunde, der læser betragtning 86, kan forvente, at nogen uden for den daglige drift ser på jeres egne systemer. Forordning 2024/2690 kræver i bilagets punkt 2.3 en uafhængig gennemgang af tilgangen til sikkerhed, og punkt 2.3.2 stiller krav om, at interne gennemgange udføres af personer, der ikke er under- eller overordnet dem, der gennemgås. Gennemgangen er ikke det samme som en penetrationstest, men princippet om adskillelse kan kunder også bruge, når de spørger til testen. → Kunden kræver test af en uafhængig tredjepart

Forordningen gælder også her

Udbydere af administrerede sikkerhedstjenester er nævnt i artikel 1 i gennemførelsesforordning (EU) 2024/2690. Er I omfattet, gælder bilagets punkt 6.5 om sikkerhedstest og punkt 6.10 om sårbarheder for jeres egne systemer. Ifølge bekendtgørelse nr. 620 af 2. juni 2025, § 6, nr. 2, er Digitaliseringsstyrelsen kompetent myndighed.

For jer betyder det, at testen af jeres egen platform skal kunne dokumenteres efter forordningens ord: behov, omfang, hyppighed og type fastlagt ud fra risikovurderingen, en dokumenteret metode, og for hvert fund en vurdering af kritisk betydning og afbødende foranstaltninger. Samtidig vil jeres kunder spørge til de samme resultater ud fra deres egne krav til leverandører. En dokumentation, der fra begyndelsen kan deles op i en del til jer selv og jeres myndighed og en del til hver kunde, sparer arbejde senere. → Forordningen og MSP’en

Et tænkt eksempel

En virksomhed driver overvågning af logdata for en række kommuner og en privat klinikkæde. Kunderne har adgang til en fælles portal, hvor de ser deres egne alarmer. Efter at have vurderet, at den selv er omfattet, lader virksomheden en ekstern testleverandør afprøve portalen, adskillelsen mellem kundernes data og de konti, analytikerne bruger til at reagere hos kunderne. Kommunerne får et udtræk om portalen og adskillelsen. Klinikkæden får det samme udtræk og en særskilt beskrivelse af den forbindelse, der kun findes hos den.

Det skal I lade være med

At læse nr. 33 uden nr. 34 · definitionen bygger på administrerede tjenester.
At teste kundernes miljøer og ikke jeres egen platform · det er platformen, der samler risikoen.
At lade samme team teste og drive uden adskillelse · kunder kan spørge til uafhængighed.
At overse adskillelsen mellem kunder · en fejl her rammer alle.
At behandle betragtning 86 som et krav · den forklarer, men binder ikke.

Hvad kan og ikke kan konkluderes

Definitionen viser, at sikkerhedsydelser kan være omfattet som en særskilt type administreret tjeneste, og betragtningen viser, hvorfor kunder er særligt opmærksomme på dem. De afgør ikke, om en bestemt ydelse er omfattet. En test af jeres platform kan vise, hvordan den modstod de afprøvede angreb, og om kundernes data var adskilt i de afprøvede tilfælde. Den kan ikke vise, at platformen er sikker over for alle angreb eller fremover. → Delte platforme hos MSP’en