En mail fra kunden kræver dokumentation for sikkerhedstest fra alle leverandører inden for en uge. Baggrunden er en hændelse hos kunden eller et påbud fra kundens myndighed, og fristen er sat af kundens travlhed, ikke af jeres kalender. Svaret hviler på kundens egen pligt til at følge op på leverandørerne efter væsentlige hændelser og på det, I faktisk har af dokumentation. Det, I har, kan I sende med det samme. Det, der kræver en ny afprøvning, skal planlægges, og datoen må I kun love, hvis I kan holde den.
Hændelsen er kundens, ikke jeres. Er det jer, der har haft hændelsen, er situationen en anden. → Test efter en hændelse hos jer
Teksten er ikke juridisk rådgivning.
Hvorfor kravet kommer nu
Bilaget til gennemførelsesforordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere og bruges som model af andre, beskriver i punkt 5.1.6, at opfølgningen på leverandører ikke kun sker med planlagte mellemrum, men også når der opstår væsentlige hændelser eller væsentlige ændringer i drift eller risici. Punkt 3.6.1 nævner gennemgange efter hændelser, der så vidt muligt skal afdække den grundlæggende årsag. Peger kundens gennemgang på leverandørkæden, er det naturligt, at kunden spørger alle leverandører på én gang.
Kravet kan også komme fra myndigheden. Efter NIS 2-lovens § 22 kan den kompetente myndighed over for en væsentlig enhed bl.a. udstede bindende instrukser med frister (nr. 2) og påbyde enheden at gennemføre anbefalinger fra en sikkerhedsaudit (nr. 6). § 25 giver tilsvarende redskaber over for vigtige enheder. Fristen i mailen kan altså afspejle en frist, kunden selv har fået. → Tilsynets audits og sikkerhedsscanninger hos kunden
Find ud af, hvad kunden præcis beder om
Under tidspres er det fristende at sende alt. Bed i stedet om et kort svar på tre spørgsmål: Hvilken del af jeres leverance er kunden bekymret for? Hvilken form skal dokumentationen have? Og er fristen fast, eller kan en del sendes nu og resten senere?
Kunden kan ikke nødvendigvis fortælle, hvad hændelsen handlede om. Men hvis kunden kan sige, at det drejede sig om fjernadgange eller om konti hos leverandører, kan I rette svaret mod netop det. Spørg også, om kravet går ud til alle leverandører, eller om jeres leverance er udpeget særskilt. Det siger noget om, hvor grundigt svaret skal være. → Når kravet er uklart
Det, I kan sende med det samme
Det meste af det, kunden har brug for i første omgang, har I måske allerede:
- Seneste testresumé · med dato, omfang og hvilken del af leverancen testen dækkede.
- Status på fund · hvad der er rettet, hvad der er planlagt, og hvad der er accepteret med begrundelse.
- Ændringer siden testen · en kort oversigt, så kunden kan se, om resultatet stadig dækker det, der bruges i dag.
- Næste planlagte test · dato eller periode, hvis den er aftalt.
- Kontaktperson · hvem hos jer kunden kan ringe til de næste uger.
Opdatér statussen, før den sendes, og skriv datoen på. En statusliste fra sidste kvartal er ikke det, kunden har brug for i en opfølgning efter en hændelse. → Status på rettelser
Det, der kræver en ny afprøvning
Nogle gange er det, I har, ikke nok. Det gælder, hvis den del af leverancen, kunden er bekymret for, ikke var med i seneste test, hvis den er ændret væsentligt siden, eller hvis kunden oplyser, at hændelsen udnyttede en type adgang, I også har. SAMSIK’s vejledning om foranstaltninger, afsnit 6.b, nævner test ved større ændringer eller væsentlige hændelser.
En ny afprøvning behøver ikke være en fuld test. En afgrænset test af netop den del, kunden peger på, kan give kunden et svar hurtigere og koster mindre tid hos jer. Skriv i omfanget, hvorfor testen er afgrænset, så kunden kan se, at det er et valg.
Tag også stilling til rækkefølgen. Er kundens egen undersøgelse af hændelsen stadig i gang, og berører den jeres adgange, kan en test samtidig forstyrre den. Spørg kunden, om testen skal vente, til undersøgelsen er afsluttet, eller om den kan køre nu. Aftal også, hvem hos kunden der skal vide, at testen foregår, så den ikke forveksles med en ny hændelse.
Lov ikke mere, end I kan nå
En tester skal have tid, tilladelser og adgang, og et testvindue skal passe ind i jeres drift. Siger I ja til en dato, I ikke kan holde, står kunden med et tomt løfte over for sin egen ledelse eller myndighed. Del hellere svaret op: det, der sendes nu, en dato for, hvornår en ny test kan begynde, og en dato for, hvornår kunden får et resumé.
Bestiller I testen som hastesag hos Nielco IT, koster det ekstra. Det fremgår af pris og tilbud. Hvordan ledelsen kan se på en hastetest generelt, er beskrevet på sikkerhedstesten.dk.
Et tænkt eksempel: En leverandør af et system til sagsbehandling hos et forsyningsselskab får et krav med fem dages frist. Leverandøren sender inden for to dage seneste resumé med opdateret status og en oversigt over ændringer. Kunden oplyser, at fjernadgange er i fokus, og leverandøren aftaler en afgrænset test af supportadgangen med en dato, testeren har bekræftet.
Det skal I lade være med
- At sende hele rapporten for at være på den sikre side · send det, kunden har brug for, i den aftalte form.
- At love en ny test inden fristen uden at have en tester · en dato skal være bekræftet.
- At sende en forældet status · datoen skal passe på tidspunktet for svaret.
- At gætte på kundens hændelse · spørg, hvad kunden kan oplyse, og hold jer til det.
- At lade et ubesvaret krav ligge · selv et foreløbigt svar viser kunden, at I har taget det op. → Kundens 24 timer
Hvad kan og ikke kan konkluderes
Et hurtigt og præcist svar kan hjælpe kunden med at vise, at leverandørerne er fulgt op efter hændelsen. Det kan ikke vise, at jeres leverance var uden betydning for hændelsen, medmindre kundens egen undersøgelse siger det, og en hurtig test dækker kun det omfang, der var tid til. Hvad kunden skal gøre over for sin myndighed, afgøres af kunden.
Tjekliste, når kravet kommer med kort frist
- ☐ Ved I, hvilken del af leverancen kunden er bekymret for?
- ☐ Er form og frist afklaret, og kan svaret deles op?
- ☐ Er seneste resumé og status opdateret og dateret?
- ☐ Er ændringer siden seneste test beskrevet?
- ☐ Er behovet for en ny, afgrænset test vurderet?
- ☐ Er datoer for en eventuel test bekræftet af testeren, før de sendes?
Læg svaret i jeres faste dokumentationspakke bagefter. → Dokumentationen på et fast tidspunkt hvert år
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 22, nr. 2 og 6, og § 25.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 3.6.1 og 5.1.6.
- SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 6.b om test ved større ændringer eller væsentlige hændelser.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Retest som dokumentation over for kunden · Midlertidige tiltag
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
