Driftskontinuitet hos leverandøren: hvorfor kunden spørger, og hvor testen ikke er svaret

Hvis jeres leverance stopper, stopper en del af kundens drift måske også, og derfor spørger en NIS2-kunde til, hvordan I holder driften kørende og kommer tilbage efter et nedbrud. Spørgsmålet bygger på NIS 2-lovens § 6, stk. 1, nr. 3, om driftskontinuitet, backupstyring, reetablering efter en katastrofe og krisestyring.

Kort sagt besvares spørgsmålet af planer, øvelser og dokumenterede gendannelser, ikke af en penetrationstest. En test kan belyse en enkelt side af sagen, nemlig om backup og reservesystemer er beskyttet mod uvedkommende. Om I faktisk kan genoprette driften, må vises på anden måde.

Hvorfor kunden spørger jer

Kunden skal selv have foranstaltninger for driftskontinuitet. Bestemmelsen svarer til artikel 21, stk. 2, litra c, i NIS2-direktivet. Når en del af kundens drift ligger hos jer, kan kunden ikke beskrive sin egen kontinuitet uden at vide, hvad der sker hos jer under et nedbrud. Jeres svar bliver i praksis en del af kundens plan, og derfor ønsker kunden det skriftligt og med datoer.

Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025 nævner i afsnit 3, at kundens kontinuitetsplan kan indeholde nøglekontakter, også eksterne som kontaktoplysninger til driftsleverandører. Det er den praktiske grund til, at kunden beder om jeres kontaktveje, genopretningstider og planer. → NIS 2-lovens § 6

For de digitale udbydere, som gennemførelsesforordning 2024/2690 gælder for, fx cloud, datacentre og udbydere af administrerede tjenester, er kravene mere detaljerede. Bilagets punkt 4.3.2, litra a, nævner roller for leverandører og tjenesteudbydere i krisesituationer, hvor det er relevant.

Det, kunden kan bede om

Spørgsmålene i et sikkerhedsspørgeskema om kontinuitet kan ligne hinanden. De drejer sig om:

Planen · har I en plan for fortsat drift og genopretning, der dækker den leverance, kunden bruger?
Genopretningstiden · hvor længe kan leverancen være nede, og hvor meget data kan gå tabt?
Backup · tages der backup af kundens data og opsætning, og opbevares kopierne adskilt fra driften?
Afprøvning · er gendannelsen prøvet, og hvornår skete det senest?
Kontakt under en krise · hvem hos jer kunden skal have fat i, og hvordan, hvis de normale kanaler er nede.

Ingen af punkterne besvares med en testrapport. De besvares med plan, aftaler og resultatet af jeres egne øvelser.

Forordningens krav om test af planer

Bilaget til forordning 2024/2690 bruger ordet test om kontinuitet, men i en anden betydning end sikkerhedstest. Punkt 4.1.4 kræver, at driftskontinuitetsplanen og katastrofeberedskabsplanen testes, gennemgås og om nødvendigt ajourføres med planlagte mellemrum og efter væsentlige hændelser eller ændringer. Punkt 4.2.6 kræver regelmæssige test af genopretning ud fra backupkopier og af reservekapaciteten, og at resultaterne dokumenteres.

ENISA’s tekniske vejledning fra juni 2025, som ikke er bindende, foreslår til punkt 4.1.4 metoder som øvelser ved bordet og simulationer. Det er øvelser i at genoprette og koordinere. Når en kunde under forordningen beder om test af kontinuitet, kan det være den slags dokumentation, kunden har brug for. → Backup som tjeneste

Hvor en penetrationstest kan bidrage

En sikkerhedstest kan alligevel have en plads, hvis kunden er bekymret for angreb, der rammer driften. Testen kan undersøge, om de adgange, den opnår, rækker ind til backup, administrationsværktøjer eller reservesystemer. Det er relevant, fordi en backup, som en angriber kan slette eller kryptere, ikke hjælper på genopretningen.

Resultatet af den del bør beskrives forsigtigt over for kunden. Testen viser, om backup var beskyttet mod den adgang, testeren fik i det aftalte omfang. Den viser ikke, at kopierne er hele, eller at de kan læses tilbage. Forskellen mellem adgang til backup og en virkende gendannelse er forklaret for køberen generelt på penetrationtest.dk.

Aftal på forhånd, hvordan backup indgår. Testeren skal vide, at kopierne er noget, der skal beskyttes, og at de ikke må ændres eller slettes for at bevise et fund. Hvis backup ligger hos en hostingpartner eller i en cloudtjeneste, skal partneren normalt også give tilladelse, før den del af miljøet indgår i testen.

Et tænkt eksempel

En leverandør af et lagerstyringssystem til en grossist i fødevarer får et spørgeskema med fem spørgsmål om kontinuitet. Det sidste lyder: Vedlæg dokumentation for den seneste test.

Leverandøren svarer med dato og resultat for sin seneste gendannelsesøvelse, hvor en kopi af kundens database blev læst tilbage i et adskilt miljø, og med den tid, det tog. Penetrationstesten fra samme år nævnes kun ét sted: under spørgsmålet om, hvorvidt backup er beskyttet mod uvedkommende. På den måde blandes de to slags test ikke sammen i kundens leverandørregister.

Grossisten spørger bagefter, om øvelsen også omfattede den hostingpartner, hvor systemet kører. Leverandøren kan svare præcist, fordi øvelsens beskrivelse angiver, hvilke dele af kæden der var med, og hvilke der ikke var. Det er netop den præcision, kunden har brug for, når kundens egen kontinuitetsplan skal hænge sammen med leverandørernes.

Sektorgrænser

Ikke alle kunder, der stiller spørgsmål om kontinuitet, er under NIS 2-loven. Lovens § 1, stk. 2, undtager bl.a. enheder omfattet af loven om styrket beredskab i energisektoren og finansielle enheder, der er udpeget efter lov om finansiel virksomhed. De finansielle enheder er i stedet under DORA, som har sine egne regler om IKT-tredjepartsrisiko. Spørg derfor, hvilke regler kundens krav bygger på, før I genbruger et svar til en anden kunde. → Energi, tele og finans

Det skal I lade være med

At sende en penetrationstest som svar på et kontinuitetsspørgsmål · den siger ikke noget om genopretning.
At love en genopretningstid, I ikke har prøvet · et tal i aftalen skal kunne holdes.
At lade testeren slette eller ændre backup for at bevise et fund · påvist adgang er nok.
At glemme jeres egne leverandører · ligger backup hos en hostingpartner, afhænger svaret også af den.
At beskrive kontinuitet som en ren IT-opgave · kontaktveje og roller under en krise hører med.

Hvad kan og ikke kan konkluderes

En penetrationstest kan sige, om backup og reservesystemer var beskyttet mod den adgang, testen opnåede. Den kan ikke vise, at I kan genoprette leverancen, eller hvor lang tid det tager. Det kræver øvelser og dokumenterede gendannelser. Teksten er ikke juridisk rådgivning, og kundens aftale med jer afgør, hvad I skal dokumentere. → Når en test ikke er svaret