Leverandørens pligt til at give kunden besked om hændelser

Pligten til at give en NIS2-kunde besked om hændelser står ikke i loven som en pligt for leverandøren. Den står i den aftale, kunden indgår med jer, og kunden har en god grund til at kræve den: kunden skal selv kunne vurdere og underrette om væsentlige hændelser, og det kan kunden kun, hvis I siger til i tide. Svaret på, hvad I skal, finder I derfor i aftalens ordlyd, og det, I bør aftale, kan I læse ud af de tekster, kunden selv arbejder efter.

Er I selv omfattet af NIS 2-loven, kommer jeres egne pligter efter loven oven i aftalen. Teksten er ikke juridisk rådgivning.

Hvad kundens tekster beskriver

Gennemførelsesforordning 2024/2690 gælder direkte for bestemte digitale udbydere, blandt andet cloud, datacentre og administrerede tjenester. Bilagets punkt 5.1.4, litra d, nævner, at deres kontrakter med leverandører, hvor det er relevant, skal angive en forpligtelse for leverandøren til uden unødig forsinkelse at underrette om hændelser, der udgør en risiko for sikkerheden i kundens net- og informationssystemer.

SAMSIK’s vejledning om foranstaltninger, som henvender sig til alle enheder under loven, har et tilsvarende punkt i afsnit 4. Her er formuleringen, at leverandøren underretter om alle relevante hændelser, så snart leverandøren bliver opmærksom på dem, og bistår enheden med at overholde dens rapporteringsforpligtelser ved væsentlige hændelser. Vejledningens eksempel spørger også, om leverandører kan og vil rapportere hurtigt nok til, at virksomheden overholder lovens rapporteringspligt. → Kundens 24 timer

Hvad en klausul bør præcisere

Ord som relevante hændelser og uden unødig forsinkelse kan læses forskelligt. Det er bedre for begge parter at præcisere dem, før noget sker:

Hvilke hændelser · fx hændelser i de systemer, kunden er afhængig af, eller som kan berøre kundens data, adgange eller drift.
Hvor hurtigt · en tidsramme, I kan holde, også uden for arbejdstid.
Hvordan · telefon til en navngiven rolle, efterfulgt af en skriftlig besked.
Hvad beskeden indeholder · tidspunkt, berørt del, kendt årsag, tiltag og kontaktperson.
Opfølgning · hvor ofte kunden får opdateringer, og hvornår sagen er afsluttet.
Bistand · hvad I leverer til kundens egen underretning, fx tidslinje og logudtræk.

Står det ikke i aftalen, så foreslå det selv. Et klart forslag fra leverandøren er lettere at arbejde med end en bred formulering fra kunden. Tænk også på fortroligheden: beskeden kan indeholde oplysninger om jeres systemer og om andre kunder. Aftal, at kunden kun bruger dem til sin egen håndtering og underretning, og skriv beskeden, så den ikke nævner andre kunder ved navn. Har I flere NIS2-kunder, er det en fordel, at klausulerne ligner hinanden, så den samme proces kan bruges for alle.

Når kunden beder jer indberette hændelsen. En omfattet kunde skal underrette myndighederne om væsentlige hændelser, men det behøver ikke være kunden selv, der udfylder og sender underretningen. SAMSIK’s vejledninger til kommuner og til den centrale forvaltning beskriver, at kunden kan aftale, at driftsleverandøren foretager underretningen på kundens vegne. Ansvaret for, at underretningen sker rettidigt og er korrekt, bliver hos kunden.

Beder kunden jer om at stå for underretningen, så skriv i aftalen, hvem der afgør, om hændelsen er væsentlig, hvem der godkender teksten, før den sendes, og hvordan kunden får besked om, at den er sendt. Kommunevejledningen siger desuden, at en sådan aftale skal dokumenteres, så den kan vises ved et tilsyn.

Hændelser hos jeres egne leverandører

Er en hændelse sket hos en af jeres egne leverandører, og rammer den det, I leverer til kunden, er det stadig jer, kunden har aftalen med. Det betyder, at jeres aftaler med egne leverandører skal sikre, at I selv får besked hurtigt nok til at kunne give den videre. Forordningens punkt 5.1.4, litra g, handler om krav til underleverandører, og SAMSIK nævner underleverandører på listen over aftalens emner. → Krav videre til egne underleverandører

Når I selv er omfattet af NIS 2-loven

Er I en væsentlig eller vigtig enhed, fx som udbyder af administrerede tjenester eller cloud, har I også pligter efter loven. NIS 2-lovens § 15, stk. 1, beskriver, at sådanne enheder uden unødigt ophold underretter modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af tjenesterne negativt. Det kommer oven i, ikke i stedet for, det, der står i aftalen med kunden. Lovens pligt gælder kun væsentlige hændelser, mens aftalen kan omfatte langt mere. Hold de to vurderinger adskilt, så en hændelse, der ikke er væsentlig for jer, stadig bliver meldt til kunden, hvis aftalen kræver det. → MSP og NIS2

Hvor testen kommer ind

En besked kan kun gives om noget, der er opdaget. Kunden kan derfor bede om dokumentation for, at I kan opdage misbrug af den del, kunden er afhængig af, og en test kan belyse det. Testeren kan fx notere, hvilke af testens handlinger der blev set af jeres overvågning, og hvor hurtigt. Det er ikke en øvelse i hændelseshåndtering, men det giver kunden et grundlag. Resultatet kan også vise jer selv, om den tidsramme, I har lovet i klausulen, er realistisk. Bliver testens handlinger først set dage senere, er en lovet besked inden for få timer svær at holde. → Opdager I et angreb?

Aftalen bør også sige, hvad der sker, hvis en test hos jer finder tegn på en hændelse. Så går sagen over i den proces, klausulen beskriver. → Hændelse eller testfund

Et tænkt eksempel

En leverandør drifter et lagersystem for en grossist i fødevarer. Aftalen siger, at hændelser, der kan berøre grossistens data eller drift, skal meldes telefonisk til grossistens driftsvagt og derefter på skrift.

En dag opdager leverandøren, at en server i leverancen har været udsat for et forsøg på at gætte adgangskoder. Forsøget lykkedes ikke. Leverandøren vurderer, at hændelsen ikke har berørt grossistens data, men melder den alligevel efter aftalen med en kort beskrivelse og de tiltag, der er sat i værk. Grossisten noterer den i sit eget register over leverandørhændelser og vurderer selv, om der er tale om en væsentlig hændelse. Ved næste årlige gennemgang bruger de to parter registret til at se, om klausulen fungerer. → Kundens løbende opfølgning på leverandører

Det skal I lade være med

At acceptere en bred klausul uden at kunne leve op til den · præcisér, hvad I kan.
At filtrere for meget · kunden kan have brug for at kende også mindre hændelser for at se et mønster.
At glemme jeres egne leverandører · deres hændelser kan være kundens.
At bruge en kanal, der ikke bliver læst · en mail uden for arbejdstid kan være for sent.
At bruge kundens rapportering som jeres egen · jeres egne pligter efter loven gælder for sig.

Hvad kan og ikke kan konkluderes

En præcis klausul og en indøvet proces viser kunden, at I kan give besked, når noget sker. De viser ikke, at alle hændelser bliver opdaget. Om en hændelse er væsentlig for kunden, vurderer kunden. Hvordan I selv styrer jeres hændelser i det hele taget, hører under jeres egen ledelse og dokumentation, ikke under testen.