Cyberhygiejne og test: hvorfor de grundlæggende forhold fylder i kundens spørgsmål

Nogle leverandører undrer sig over, at en NIS2-kunde spørger til opdateringer, adgangskoder og antivirus, når kravet handlede om en penetrationstest. Forklaringen er, at grundlæggende cyberhygiejne er én af de ti foranstaltninger i NIS 2-lovens § 6, stk. 1, nr. 7, og at de danske vejledninger bruger ordet om netop den slags daglige sikkerhedsvaner.

Kort sagt er det de grundlæggende forhold, der kan afgøre, om en leverance er let at angribe, og derfor bruger kunden dem som pejlemærke. En test kan vise, om de grundlæggende forhold er på plads i det, der testes. Den kan ikke vise, at vanerne holdes hver dag, eller at jeres medarbejdere er uddannet.

Hvad cyberhygiejne betyder i reglerne

§ 6, stk. 1, nr. 7, nævner grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse. Den svarer til artikel 21, stk. 2, litra g, i NIS2-direktivet. Lovbemærkningerne, som de er gengivet i Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025, afsnit 7, nævner som eksempler brug af passwords og sikker brug af mails.

Vejledningens afsnit 7.a beskriver cyberhygiejne som de grundlæggende foranstaltninger og daglige sikkerhedsvaner, der beskytter mod almindelige trusler. Den lister en række forhold, som enheden bør have på plads, bl.a. regelmæssig opdatering, beskyttelse mod skadelig software, segmentering efter kritikalitet, begrænsning af administrative rettigheder, stærke passwords, multifaktorlogin efter aktivernes klassifikation, begrænsning af porte og tjenester til det nødvendige, en fortegnelse over aktiver, automatiserede sårbarhedsscanninger og regelmæssige sikkerhedstests. → NIS 2-lovens § 6

Leverandørerne er nævnt direkte

For de digitale udbydere, som gennemførelsesforordning 2024/2690 gælder for, fx cloud, datacentre og udbydere af administrerede tjenester, er punktet mere direkte rettet mod leverandører. Bilagets punkt 8.1.1 siger, at enheden skal sikre, at ansatte og direkte leverandører og tjenesteudbydere er opmærksomme på risici og anvender cyberhygiejnepraksisser. Punkt 8.1.2 nævner, at bevidstgørelsesprogrammet tilbydes leverandører, hvor det er relevant.

For en leverandør til sådan en kunde betyder det, at spørgsmål om jeres hygiejne ikke er tilfældige. De følger af kundens egen pligt. Kunden kan fx bede jer om at deltage i kundens eget bevidstgørelsesprogram eller om at bekræfte, at jeres medarbejdere med adgang til kundens systemer har fået tilsvarende undervisning hos jer. Det er et krav om viden og vaner, ikke om test, og det besvares bedst med jeres egen plan for undervisning.

Hvorfor spørgsmålene ser ens ud for alle leverandører

En kunde med mange leverandører kan ikke sætte sig ind i hver enkelt leverances opbygning. De grundlæggende spørgsmål kan stilles ens til alle, og svarene kan sammenlignes. Derfor fylder de i sikkerhedsspørgeskemaer, også når kunden egentlig er mest optaget af én bestemt leverance.

Kunden har også en praktisk grund. Svar om opdateringer, rettigheder og multifaktorlogin er nemme at følge op på ved næste gennemgang af leverandørerne. Et svar om en penetrationstest er sværere at sammenligne, fordi omfang og metode varierer. For jer betyder det, at korte, konkrete og daterede svar om de grundlæggende forhold kan gøre mere for kundens vurdering end en lang rapport.

Det, en test kan vise om de grundlæggende forhold

En penetrationstest eller sårbarhedsscanning af jeres leverance kan ramme netop de forhold, vejledningen lister. Inden for det aftalte omfang kan resultatet vise:

Manglende opdateringer · systemer med kendte sårbarheder, som der findes rettelser til.
Unødige tjenester · åbne porte og tjenester, der ikke bruges i leverancen.
Svage eller standard adgangskoder · konti, der kan bruges med kendte eller lette koder.
For mange rettigheder · brugere og tjenester med flere rettigheder end nødvendigt. → Test af adgangskontrol
Manglende multifaktorlogin · adgange, hvor kunden forventer to faktorer. → Multifaktorlogin som foranstaltning
Ukendte systemer · enheder eller tjenester, der ikke står i jeres fortegnelse over aktiver.

Flere af punkterne kan også følges mellem to test med løbende scanninger og jeres egne kontroller, og det kan være det, kunden helst vil se. → Kontroller mellem to test

Det, testen ikke viser

Cyberhygiejne er også vaner og viden. En test viser tilstanden på testdagen, ikke om opdateringer bliver installeret hver måned, eller om nye medarbejdere lærer at genkende en falsk mail. Uddannelse og bevidstgørelse dokumenteres med planer, deltagelse og materiale. Kunden kan også spørge, om nye medarbejdere får undervisning, før de får adgang til kundens data.

Forordningens punkt 8.1.3 siger, at bevidstgørelsesprogrammet testes med hensyn til effektivitet, hvor det er relevant. ENISA’s tekniske vejledning fra juni 2025, som ikke er bindende, foreslår fx quizzer eller realistiske scenarier. Styrelsens vejledning nævner social engineering-tests blandt de tekniske test. Den slags test af medarbejdere er en særskilt beslutning med egne hensyn og bør ikke lægges ind i en almindelig test uden aftale. Hvis kunden ønsker den, skal både jeres ledelse og de berørte medarbejderes forhold være taget i betragtning, før den planlægges.

Et tænkt eksempel

En lille leverandør af et lønsystem til en kommune får et sikkerhedsspørgeskema med tolv spørgsmål om grundlæggende forhold og ét om penetrationstest. Leverandøren besvarer de tolv med sine rutiner og datoer: hvornår systemerne blev opdateret, hvordan administratorrettigheder er begrænset, og hvornår medarbejderne sidst fik undervisning. Spørgsmålet om test besvares med resumé og dato for den seneste test af lønsystemet, hvor to fund om manglende opdateringer er rettet. Samlet viser svaret både vanerne og en kontrol af, om de virkede i det testede system. → Testspørgsmålet i kundens skema

Det skal I lade være med

At betragte grundlæggende spørgsmål som overflødige · de følger af en af lovens ti foranstaltninger.
At svare på hygiejne med en testrapport alene · rutinerne skal beskrives særskilt.
At teste medarbejdere uden en særskilt beslutning · test af den menneskelige del kræver egne aftaler.
At lade fund om manglende opdateringer stå uden plan · netop de fund er lette for kunden at forstå og følge.
At glemme jeres egne leverandører · deres hygiejne påvirker også den leverance, kunden bruger.

Hvad kan og ikke kan konkluderes

En test kan vise, om grundlæggende forhold som opdateringer, tjenester og rettigheder var i orden i det testede på testdagen. Den kan ikke vise, at vanerne holdes, eller at kunden lever op til § 6, stk. 1, nr. 7. Teksten er ikke juridisk rådgivning. Er I en lille leverandør, kan omfanget holdes enkelt. → Lille leverandør med få systemer

Tjekliste til kundens spørgsmål om cyberhygiejne

☐ Har I beskrevet jeres rutiner for opdatering, rettigheder og adgangskoder med datoer?
☐ Har I en fortegnelse over de systemer, der indgår i leverancen?
☐ Er fund om grundlæggende forhold fra den seneste test rettet eller planlagt?
☐ Kan I dokumentere uddannelse og bevidstgørelse af medarbejderne?
☐ Er test af medarbejdere holdt ude af testen, medmindre det er aftalt særskilt?