CVSS i kundens krav: når kunden måler jer på alvorlighed

En leverandøraftale kan indeholde en sætning som “fund med høj eller kritisk alvorlighed efter CVSS skal rettes inden for den aftalte frist”. Det lyder præcist, men det efterlader flere spørgsmål åbne: hvilken version, hvilke målinger, og hvem der sætter tallet. Svaret hviler på to kilder. CVSS-specifikationen fra FIRST beskriver, hvad en score måler og ikke måler. ENISA’s ikke-bindende vejledning til gennemførelsesforordning (EU) 2024/2690 nævner CVSS som et eksempel på en ramme til at vurdere sårbarheders alvor, og det er en sandsynlig kilde til kundens formulering.

For jer betyder det, at et CVSS-krav først bliver til at arbejde med, når I har afklaret detaljerne med kunden. Teksten er ikke juridisk rådgivning.

Hvor kunden har ordene fra

Forordningens bilag, punkt 6.10, handler om håndtering af sårbarheder og gælder bestemte digitale udbydere, blandt andre cloud, datacentre og administrerede tjenester. Bilaget nævner ikke CVSS. Det gør ENISA’s tekniske vejledning, som anbefaler at vurdere alvoren ud fra en model som CVSS, suppleret med målinger for miljø og trussel, hvor det er passende. Vejledningen anbefaler også som minimum at håndtere sårbarheder i de højeste klasser, fx kritisk og høj i CVSS, uden unødig forsinkelse, og så vidt muligt ikke at acceptere risikoen ved sårbarheder i den højeste klasse.

En kunde, der ikke er omfattet af forordningen, kan have lånt de samme formuleringer. Kravet binder jer så gennem aftalen, ikke gennem forordningen. → ENISA’s tekniske vejledning

Hvad en CVSS-score siger

Ifølge FIRST’s specifikation for version 4.0 består CVSS af fire grupper af målinger. Grundgruppen beskriver sårbarhedens egne egenskaber. Trusselsgruppen beskriver, hvad der vides om udnyttelse. Miljøgruppen tilpasser vurderingen til det konkrete miljø. Den supplerende gruppe giver ekstra oplysninger uden at ændre scoren. Specifikationen beskriver scoren som et udtryk for alvorlighed i forhold til andre sårbarheder og siger, at en vurdering af risiko kræver forhold uden for CVSS.

Specifikationen beder også om, at en score altid angives med, hvilke grupper der er brugt, fx CVSS-B for grundgruppen alene og CVSS-BTE, når trussel og miljø er med. Den kvalitative skala fra ingen til kritisk er ifølge specifikationen valgfri at bruge.

Hvordan en CVSS-score generelt læses i en pentestrapport, er forklaret på penetrationtest.dk. Her handler det om, hvad scoren kommer til at betyde, når den står i aftalen med en NIS2-kunde og styrer frister og beskeder.

Fem ting, I skal afklare med kunden

Et krav, der kun siger “CVSS”, kan læses på flere måder. Afklar disse punkter, før I skriver under, eller senest før den første test:

Version · FIRST har udgivet flere versioner med forskellige målinger. Aftal, hvilken der gælder.
Grupper af målinger · gælder kravet grundscoren, eller skal trussel og miljø med?
Hvem sætter miljømålingerne? · de afhænger af kundens miljø, som I ikke kender i detaljer.
Skala og grænser · bruger kunden FIRST’s kvalitative skala eller sin egen?
Fund uden score · hvad gælder for svagheder i opsætning eller proces, som testeren ikke scorer?

Svarene afgør, om jeres rapport kan bruges direkte, eller om kunden skal regne om. Skriv dem ind i aftalen eller i et tillæg, så de også gælder ved næste test. → Kundens brev om NIS2

Grundscore eller vurdering i kundens miljø

Den største kilde til uenighed er forskellen mellem grundscoren og en vurdering med miljø. En testleverandør, I har bestilt, scorer ud fra jeres leverance, ikke ud fra hver enkelt kundes drift. Kunden kan derimod vægte et fund højere, fordi netop den funktion bærer en kritisk proces, eller lavere, fordi den ikke bruges.

Begge dele kan være rigtige. Skriv i aftalen, hvilken score kravet måles på, og hvem der må justere den. En model, der er let at forklare, er at rapporten angiver grundscoren og testerens begrundelse, mens kunden lægger sin egen miljøvurdering ovenpå og fortæller jer resultatet. Så er det tydeligt, hvem der har sagt hvad. → Kunden vurderer et fund som mere alvorligt, end I gør

Når scoren styrer frister

Kravet kan være mere end en score: scoren kan være koblet til en frist eller en pligt til at give besked. Det gør det vigtigt, at scoren sættes på samme måde fra gang til gang. Bed testleverandøren om at angive version, grupper og vektor for hvert scorede fund, så kunden kan efterprøve tallet. → Hvad I skal bede testleverandøren om

Hvis scoren ændres senere, fx fordi der kommer nye oplysninger om udnyttelse, kan fristen flytte sig. Aftal, om fristen regnes fra den første score eller fra den nye. Uden en sådan aftale kan et fund pludselig være forsinket. → Kundens frister for rettelser

Et tænkt eksempel

En leverandør af et vagtplansystem til en kommunes ældrepleje får et kravbilag, hvor fund med høj eller kritisk CVSS skal rettes, før systemet opdateres næste gang. Leverandøren spørger kommunen, hvilken version og hvilke målinger kravet bygger på. Svaret er grundscoren i version 4.0, men kommunen forbeholder sig at hæve et fund, der berører borgeroplysninger. Leverandøren skriver begge dele ind i et tillæg og beder testeren angive vektor og begrundelse ved hvert fund. Ved næste test hæver kommunen ét fund fra middel til høj, og det følger nu den aftalte frist uden diskussion.

Det skal I lade være med

At acceptere “CVSS” uden version og målinger · kravet kan læses på flere måder.
At behandle scoren som risiko · FIRST siger selv, at risiko kræver mere.
At justere testerens score i stilhed · kunden skal kunne se, hvem der har ændret hvad.
At glemme fund uden score · aftal, hvordan de behandles.
At lade fristen afhænge af en score, der kan ændres · uden at aftale, hvad der så gælder.

Hvad kan og ikke kan konkluderes

En CVSS-score i rapporten siger noget om, hvor alvorlig en svaghed er sammenlignet med andre. Den siger ikke, hvor stor risikoen er for netop jeres kunde, og den afgør ikke alene, hvornår et fund skal være rettet. Det gør aftalen. ENISA’s vejledning bruger CVSS som eksempel, ikke som krav, og forordningen nævner det ikke. Et velafklaret CVSS-krav gør samarbejdet forudsigeligt, men det erstatter ikke kundens egen vurdering af, hvad der er kritisk. → Kritiske fund skal afhjælpes

Tjekliste til CVSS i aftalen

☐ Er versionen aftalt?
☐ Er det aftalt, om kravet gælder grundscoren eller trussel og miljø?
☐ Ved I, hvem der sætter miljømålingerne?
☐ Er skalaen og grænserne skrevet ind?
☐ Er der en regel for fund uden score?
☐ Angiver rapporten vektor og begrundelse for hvert scorede fund?
☐ Er det aftalt, hvad der sker med fristen, hvis scoren ændres?

Kilder

FIRST CVSS v4.0: de fire grupper af målinger, betegnelserne for kombinationer og den valgfri kvalitative skala.
ENISA, NIS2 Technical Implementation Guidance (juni 2025): vejledning til punkt 6.10.1 til 6.10.3 om CVSS som eksempel, ikke bindende.
Gennemførelsesforordning (EU) 2024/2690: artikel 1 og bilagets punkt 6.10.

Senest gennemgået: oktober 2026.