Hvad skal kunden have? Dokumentationen efter en NIS2‑begrundet test

Når testen er gennemført, skal kunden have noget, kunden kan bruge. Det er ikke nødvendigvis hele rapporten. En NIS2-kunde har brug for dokumentation, der kan indgå i kundens egen vurdering af jer som leverandør: hvad der blev testet, hvad det viste, og hvad I har gjort ved det. Svaret hviler på, hvad kunden selv skal gøre efter NIS 2-loven og den model for leverandørstyring og sikkerhedstest, som forordning (EU) 2024/2690 beskriver.

Dokumentationen skal altså passe til kundens brug, ikke til testens form. Teksten er ikke juridisk rådgivning.

Hvad kunden skal bruge dokumentationen til

Kunden er omfattet af NIS 2-loven og skal efter § 6, stk. 1, nr. 4, have foranstaltninger for forsyningskædesikkerhed. Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, men dens bilag bruges bredt som model. Punkt 5.1.6 beder enheden overvåge og evaluere leverandørernes cybersikkerhedspraksis med planlagte mellemrum, og punkt 5.1.7, litra c, nævner, at resultaterne af gennemgange dokumenteres på en forståelig måde.

Jeres dokumentation kan altså lande ét af fire steder hos kunden:

Leverandørvurderingen · som bevis på, at I følger op på sikkerheden i leverancen.
Kundens risikovurdering · som oplysning om, hvor sårbar den del er, kunden er afhængig af.
Ledelsens overblik · som en kort status, ledelsen kan forholde sig til.
Et muligt tilsyn · som materiale, kunden kan fremlægge, hvis myndigheden spørger.

Hvert sted har sine behov, men de bygger på de samme oplysninger. Spørg kunden, hvor dokumentationen skal bruges, før I sender noget. Svaret afgør, hvor meget der skal med, og hvem hos kunden der skal have det. → Kundens løbende opfølgning på leverandører

Kernen: det, der altid skal med

Uanset formen er der nogle oplysninger, kunden kan få brug for:

Omfang og udeladelser · hvilke dele af leverancen der blev testet, og hvad der ikke gjorde.
Testtype og periode · hvilken slags test, og hvornår den fandt sted.
Hvem der testede · jeres egne folk eller en ekstern part.
Fund med vurdering · hvert fund med alvorlighed og den del af leverancen, det angår.
Status · hvad der er rettet, hvad der er planlagt, og hvad der er accepteret.

Bilagets punkt 6.5.2, litra c, beskriver, hvordan en enhed selv dokumenterer sine test: type, omfang, tid og resultater med en vurdering af kritisk betydning og af afbødende foranstaltninger for hver konstatering. Kunden kender den skabelon, og en dokumentation, der følger den, er lettere at bruge. → Fire oplysninger om testen

Status er det, kunden læser først

En liste over fund siger ikke meget alene. Kunden vil vide, hvad der er sket siden. Styrelsen for Samfundssikkerhed (SAMSIK) skriver i sin vejledning om foranstaltninger, afsnit 6.b, at testresultater som minimum bør dokumenteres med en vurdering af, hvor kritiske de er, og hvilke kompenserende handlinger der er udført, og at restrisiko skal accepteres af risikoejere.

For jer betyder det, at hvert fund bør have en af tre statusser: rettet, planlagt med en dato eller accepteret med en begrundelse. Et fund uden status er det, kunden spørger til.

Er et fund rettet, er det en fordel at kunne vise, hvordan rettelsen er kontrolleret, fx ved en ny afprøvning. Er det accepteret, skal begrundelsen kunne læses af en, der ikke var med til beslutningen. Det er også her, kunden ser, om fund i den del, kunden bruger, har fået samme opmærksomhed som resten. → Status på rettelser

Hvad kunden ikke behøver

Kunden behøver ikke nødvendigvis de tekniske detaljer om, hvordan fundene blev gjort, eller oplysninger om jeres interne opbygning. SAMSIK’s vejledning om anvendelsesområdet, afsnit 8, siger desuden, at en NIS2-kunde ikke skal kræve fx en særlig certificering eller revisionserklæring af sine leverandører. Kunden kan altså godt bede om en bestemt form, men det er ikke noget, reglerne kræver.

Hvilken form der passer, afhænger af kundens brug: et resumé, en erklæring eller den fulde rapport. Valget er beskrevet i → Resumé, erklæring eller hel rapport

En pakke, der kan genbruges

Det sparer tid at samle dokumentationen i en fast pakke, som kan sendes til flere kunder med små tilpasninger:

Et forsideark · leverance, testperiode, tester, kontaktperson og dato for næste planlagte test.
Et resumé · omfang, udeladelser og overordnet resultat på én side.
En fundliste med status · alvorlighed, berørt del og status for hvert fund.
Bilag efter behov · fx en erklæring fra testeren eller en beskrivelse af metoden.

Pakken bør kunne forstås af en kyndig person hos kunden uden jeres forklaring. SAMSIK skriver i afsnit 6.b, at testenes type, omfang, tidspunkt og resultater bør dokumenteres, så de er forståelige for tredjeparts eksperter. Softwarehuse, hvis kunder kræver pentestrapporten uden for NIS2, kan læse mere om den side af sagen på pentestrapport.dk.

Et tænkt eksempel

En leverandør af et lagerstyringssystem til en grossist i fødevarer får et krav om dokumentation efter den årlige test. Grossisten er omfattet af NIS 2-loven.

Leverandøren sender et forsideark, et resumé og en fundliste. To fund er rettet, ét er planlagt til næste release med dato, og ét er accepteret, fordi funktionen ikke bruges af grossisten. Grossistens sikkerhedsansvarlige noterer pakken i leverandørregistret og beder kun om én ting mere: en kontaktperson for hændelser. Leverandøren tilføjer den til forsidearket, så den kommer med næste gang. Begrundelsen for det accepterede fund bliver læst grundigt og godtaget.

Det skal I lade være med

At sende hele rapporten som første svar · kunden kan ikke nødvendigvis bruge den, og den indeholder mere, end der er brug for.
At udelade status · en fundliste uden status skaber flere spørgsmål.
At skjule udeladelser · kunden skal kunne se, hvad testen ikke dækkede.
At sende en ny form hvert år · en fast pakke er lettere at sammenligne.
At love, at leverancen opfylder kundens krav · det vurderer kunden selv.

Hvad kan og ikke kan konkluderes

En god dokumentation gør det muligt for kunden at vurdere, hvad testen viste, og hvordan I har fulgt op. Den kan ikke garantere, at kunden eller kundens tilsyn finder den tilstrækkelig, og den siger intet om dele, der lå uden for testen. Dokumentationen beskriver tilstanden på testtidspunktet og den opfølgning, der er sket siden. Ændres leverancen væsentligt, kan kunden med rette bede om ny dokumentation. → Hvad testdokumentationen ikke kan bevise