Certificering og NIS2: kan kunden kræve, at I er certificeret?

Et krav om ISO 27001-certificering eller en revisorerklæring i en NIS2-sammenhæng kan virke som en betingelse, man skal opfylde for at beholde kunden. Men reglerne pålægger ikke kunden at stille et sådant krav. Svaret hviler på to kilder: NIS 2-lovens § 8 og direktivets artikel 24, som handler om certificerede IKT-produkter og ikke om certificering af leverandører, og SAMSIK’s vejledning om anvendelsesområdet, som siger, at en omfattet enhed ikke skal kræve fx en særlig certificering eller revisionserklæring af sine leverandører.

Kunden kan altså godt bede om det, men som sit eget valg i aftalen, ikke fordi loven kræver det. For jer er det et spørgsmål om forhandling, omfang og pris, og om hvad certificeringen og en test hver især kan dokumentere. Teksten er ikke juridisk rådgivning.

Hvad loven og direktivet siger om certificering

NIS 2-lovens § 8 giver ministeren mulighed for at fastsætte regler om, at væsentlige og vigtige enheder skal anvende særlige IKT-produkter, -tjenester og -processer, som er certificeret efter en europæisk cybersikkerhedscertificeringsordning, for at påvise overensstemmelse med bestemte krav i § 6. Bestemmelsen gælder de omfattede enheder og de produkter, de bruger. Den handler ikke om, at leverandøren som virksomhed skal have et ledelsessystem certificeret.

Direktivets artikel 24 har samme indhold og henviser til de europæiske ordninger under forordning (EU) 2019/881. Kommissionen kan ved delegerede retsakter præcisere, hvilke kategorier af enheder der skal bruge certificerede produkter eller tjenester. Hvis sådanne regler kommer, vil de fremgå af regler udstedt efter § 8. → NIS 2-loven i Danmark

Hvad SAMSIK skriver om leverandører

I afsnit 8 om leverandører skriver SAMSIK, at det ikke betyder, at de omfattede enheder skal stille præcis de samme krav til leverandører, som de selv er underlagt, eller at de skal kræve fx en særlig certificering eller revisionserklæring. Kunden skal i stedet vurdere de risici, leverancen udgør, og kan på den baggrund stille forholdsmæssige krav. → Hvad en NIS2-kunde ikke kan forvente af en leverandør

Hvor certificering alligevel dukker op

Forordning 2024/2690, som gælder bestemte digitale udbydere, nævner i bilagets punkt 5.1.4, litra b, at kontrakter med leverandører, hvor det er relevant, kan angive krav til påkrævede certificeringer af leverandørens ansatte. Det handler om medarbejdernes kvalifikationer, ikke om en certificering af virksomheden.

ENISA’s ikke-bindende vejledning nævner certificeringer flere steder som et muligt grundlag for at vurdere leverandører, bl.a. branchestandarder som ISO 27001 som et af flere tegn på leverandørens sikkerhedspraksis. Til forordningens punkt 6.1 om erhvervelse af IKT-produkter nævner den, hvor det er relevant, certifikater efter den europæiske ordning for IKT-produkter baseret på Common Criteria. Begge dele er eksempler, ikke pligter.

Når kunden alligevel kræver en certificering, kan forklaringen være, at den giver kunden et ensartet grundlag for at vurdere mange leverandører på samme måde. Det er en praktisk begrundelse, ikke en juridisk. Spørg derfor, hvad kunden vil opnå med kravet, og om et andet grundlag kan give kunden det samme, når I er en lille leverandør med en enkelt afgrænset leverance.

Certificering og test dokumenterer forskellige ting

En ISO 27001-certificering viser, at et ledelsessystem for informationssikkerhed er auditeret mod standarden inden for et bestemt omfang. Den siger ikke, at en bestemt løsning er modstandsdygtig over for angreb på et bestemt tidspunkt. En penetrationstest viser, hvad testeren fandt i en afgrænset løsning i en bestemt periode. Den siger ikke noget om, hvordan virksomheden styrer sikkerheden løbende.

Derfor kan de to supplere hinanden. Hvis kunden vil have et billede af jeres sikkerhedsarbejde som helhed, kan en certificering være et svar. Hvis kunden vil vide, om løsningen kan angribes, er en test et mere direkte svar. → Kunden henviser til både ISO 27001 og NIS2

Når kravet er en revisorerklæring

SAMSIK nævner revisionserklæringer i samme sætning som certificering. Nogle kunder beder om en erklæring fra en revisor om jeres kontroller i stedet for en certificering. Også her gælder det, at reglerne ikke pålægger kunden at kræve den.

En erklæring kan være et godt svar, hvis I leverer drift eller hosting til mange kunder og alligevel får gennemgået jeres kontroller. Men den har samme begrænsning som en certificering: den beskriver kontrollerne i en periode og ikke, om en bestemt løsning kan angribes. Hvis kunden både vil have en erklæring og dokumentation for test, er det to forskellige leverancer, og de bør beskrives hver for sig i aftalen. Spørg også, om kunden vil bruge erklæringen til egen vurdering eller sende den videre, fordi det påvirker, hvilken form den skal have. → Ret til revision i aftalen

Hvis I ikke er certificeret

Mangler I en certificering, og stiller kunden den som krav, kan I overveje at foreslå et alternativ. Det kunne være:

En afgrænset penetrationstest af leverancen · med dokumentation af type, omfang, tid og resultater.
Besvarelse af kundens sikkerhedsspørgeskema · med henvisning til politikker og procedurer.
En plan for certificering · hvis I alligevel overvejer det, med en realistisk tidshorisont.
Kundens ret til at se dokumentation · på et aftalt niveau og under fortrolighed.

Henvis gerne til SAMSIK’s vejledning som baggrund for, at kravet kan tilpasses, men brug den ikke som et argument for at gøre mindre. → Forholdsmæssige krav

Det skal I lade være med

At fortælle kunden, at loven forbyder kravet · den kræver det blot ikke.
At behandle certificering som bevis for, at løsningen er testet · de dokumenterer forskellige ting.
At love en certificering inden en fast dato uden at kende forløbet · det afhænger af certificeringsorganet.
At forveksle certificering af ansatte med certificering af virksomheden · forordningens punkt 5.1.4 handler om de ansatte.
At udlevere hele auditrapporten for at undgå kravet · aftal, hvad der deles.

Hvad kan og ikke kan konkluderes

Reglerne viser, at en kunde ikke er forpligtet til at kræve certificering af sine leverandører, og at § 8 handler om certificerede produkter, ikke om leverandørens ledelsessystem. De viser ikke, at et krav om certificering er urimeligt. Det kan kunden vælge at stille i aftalen. En certificering og en test besvarer forskellige spørgsmål, og ingen af dem dokumenterer i sig selv, at kunden eller I lever op til NIS2.