Artikler om NIS2 og penetrationstest

Kravet fra kunden: når NIS2 sendes ned gennem kæden

Kravet om en test kommer ikke nødvendigvis fra loven, men fra en kunde, der selv er omfattet af NIS2 og skal kunne vise, at risikoen ved leverandørerne er vurderet. Det kan stå i et brev, et kravbilag, en klausul om revision eller et spørgeskema.

→ Temaside: Kravet fra kunden: når NIS2 sendes ned gennem kæden

Reglerne bag kravet: direktiv, lov og myndigheder

Bag kundens krav står direktivet, den danske NIS 2-lov, en gennemførelsesforordning for de digitale udbydere og vejledning fra myndighederne. Teksterne pålægger den omfattede kunde at vurdere sine leverandører, men de fastsætter ikke en bestemt testtype eller et fast interval for leverandøren.

→ Temaside: Reglerne bag kravet: direktiv, lov og myndigheder

Effektivitet og test: hvad kunden forventer

Den omfattede kunde skal have procedurer til at vurdere, om sikkerhedsforanstaltningerne er effektive. En test af jeres leverance er én måde at give kunden et svar på, men ikke den eneste.

→ Temaside: Effektivitet og test: hvad kunden forventer

Testens omfang: det, kunden er afhængig af

Kunden interesserer sig ikke nødvendigvis for hele jeres virksomhed, men for de steder, hvor leverancen kan påvirke kundens drift eller data: supportadgangen, portalen, integrationerne og de værktøjer, I administrerer kunden med.

→ Temaside: Testens omfang: det, kunden er afhængig af

Dokumentation og aflevering til kunden

Kunden skal kunne bruge resultatet i sin egen leverandørvurdering og i sidste ende forklare det for sin myndighed. Det kræver ikke nødvendigvis hele rapporten, men et dokument, der viser testens type, omfang, tidspunkt og resultat.

→ Temaside: Dokumentation og aflevering til kunden

Fund, sårbarheder og hændelser i kunderelationen

Finder testen noget, der berører kunden, afgør aftalen, hvornår og hvordan kunden skal have besked. Lovens frister for hændelsesunderretning gælder den omfattede kunde, men kunden kan kun nå dem, hvis leverandøren melder hurtigt.

→ Temaside: Fund, sårbarheder og hændelser i kunderelationen

MSP, hosting og cloud i kæden

En driftsleverandør kan selv være omfattet af NIS2 og samtidig få krav fra kunder, der hver har deres egen tolkning. Fjernadministration, delte platforme og privilegerede konti går på tværs af kunderne.

→ Temaside: MSP, hosting og cloud i kæden

Sektorerne set fra leverandøren

Kunder i forskellige sektorer er underlagt forskellige regler, og nogle sektorer hører under særlige regler. Derfor kan samme leverandør få vidt forskellige krav fra kunder i sundhed, produktion, energi, tele og finans.

→ Temaside: Sektorerne set fra leverandøren