Spørgsmål og svar om NIS2-krav og penetrationstest

Kræver NIS2, at vi får lavet en penetrationstest?

Ikke direkte. Ordet står ikke i NIS 2-lovens paragraffer, men i bemærkningerne til § 6, nr. 6, som et eksempel på en teknisk test. Reglerne fastsætter ingen bestemt testtype for leverandører. Kravet til jer kommer fra kunden, og står det i jeres aftale, er det aftalen, der binder. → Det, NIS2 ikke siger om penetrationstest

Hvorfor beder kunden så om en penetrationstest?

Kunden er omfattet og skal have foranstaltninger for forsyningskædesikkerhed og procedurer til at vurdere, om foranstaltningerne virker (§ 6, stk. 1, nr. 4 og 6). En test af den del af leverancen, kunden er afhængig af, er en måde at få et svar på. → Hvorfor kræver kunden en penetrationstest med henvisning til NIS2?

Bliver vi selv omfattet, fordi kunden er det?

Nej. Kundens status smitter ikke af på jer. Om I selv er omfattet, afhænger af jeres egen sektor, type og størrelse efter lovens bilag og §§ 4 og 5. Den vurdering er et særskilt spørgsmål, og den foretages ikke på dette site. → Er vi selv omfattet af NIS2, eller er det kun kunden?

Kunden skriver, at vi skal testes hvert år. Er det et lovkrav?

Reglerne giver ikke et fast interval. For de digitale udbydere, forordning (EU) 2024/2690 gælder for, fastlægges hyppigheden ud fra en risikovurdering. Et årligt interval kan være fornuftigt, men det er et valg, som I og kunden træffer. Spørg, hvad det bygger på. → Testfrekvens efter risiko

Skal hele virksomheden testes?

Ikke nødvendigvis. Udgangspunktet er det, kunden er afhængig af: supportadgangen ind til kunden, portaler, integrationer og administrationsværktøjer. Kontornettet kan komme med, hvis det hænger sammen med leverancen, fx fordi teknikerne arbejder derfra, når de logger på hos kunden. Spørg kunden, hvilken risiko testen skal belyse. → Hvilke systemer forventer NIS2-kunden testet?

Må vi teste vores forbindelse ind til kundens systemer?

Kun det, I selv ejer, eller som ejeren har givet skriftlig tilladelse til. Kundens krav om en test er ikke i sig selv en tilladelse til at teste kundens miljø. Del omfanget op, så det er klart, hvem der godkender hvad. → Afgrænsning mod kundens eget miljø

Skal kunden have hele rapporten?

Ikke nødvendigvis. Et resumé eller en erklæring kan være nok, hvis den viser omfang, tidspunkt, resultat og status på rettelser. Spørg kunden, hvad dokumentationen skal bruges til, og om den skal kunne vises til kundens myndighed. → Resumé, erklæring eller hel rapport

Hvad skal dokumentationen mindst indeholde?

Testens type, omfang, tidspunkt og resultat er et godt udgangspunkt. Forordningens bilag nævner dem for de enheder, den gælder for, og en kunde kan spørge til de samme oplysninger. Tilføj, hvad der blev rettet, og hvad der står åbent. → Fire oplysninger om testen

Kunden beder om en NIS2-erklæring fra revisor. Kan testen bruges?

En penetrationstest er ikke en revisorerklæring. En erklæring fra revisor handler om jeres foranstaltninger og kontroller, mens en test viser, hvad en afgrænset afprøvning fandt på et bestemt tidspunkt. Testens dokumentation kan være én del af det, I viser kunden. SAMSIK’s vejledning om anvendelsesområdet skriver desuden, at kunden ikke nødvendigvis skal kræve en revisionserklæring af leverandørerne. → Hvad testdokumentationen ikke kan bevise

Er vores eget svar nok, eller skal testen være uafhængig?

Det afgør kunden og aftalen. Reglerne kræver ikke, at en leverandør bruger en ekstern tester, og kunden kan godt nøjes med jeres eget svar. Kræver kunden en uafhængig test, så få afklaret, hvad uafhængig betyder, og skriv testerens forhold til jer ind i dokumentationen. → Krav om test af uafhængig tredjepart

Kan en test bevise, at vi overholder NIS2?

Nej. En test viser, hvad en afgrænset undersøgelse fandt på et bestemt tidspunkt. Den siger intet om dele uden for omfanget, om processer eller om ændringer bagefter. Skriv grænserne tydeligt, så dokumentationen ikke bliver læst bredere, end den er ment. → Hvad testdokumentationen ikke kan bevise

Vi har flere NIS2-kunder med forskellige krav. Skal vi teste flere gange?

Ikke altid. En fælles afgrænsning af det, kunderne har til fælles, kan dække flere krav, mens kundespecifikke dele testes for sig. Det kræver, at I kan vise, hvad der var med, og hvad der ikke var. → Flere NIS2-kunder med forskellige krav

Kunden vil selv teste vores løsning. Hvad gør vi?

Aftal tilladelse, afgrænsning, tidspunkt og kontaktpersoner før testen. Tænk også på andre kunder, der bruger samme systemer. En klausul om ret til revision kan give kunden adgang, men den siger ikke nødvendigvis, hvordan testen skal foregå. → Kunden vil selv teste jeres løsning

Testen finder et kritisk fund. Skal kunden vide det?

Det afhænger af aftalen og af, om fundet berører kunden. Aftalen kan indeholde en pligt til at give besked om sårbarheder, der kan ramme kundens systemer, og forordning (EU) 2024/2690 nævner sårbarhedshåndtering blandt de punkter, kontrakter med leverandører kan omfatte. Læs ordlyden, og aftal på forhånd, hvem der giver besked, og hvornår. → Kritisk fund, der berører kunden

Gælder kundens frist på 24 timer også os?

Nej. Fristerne for tidlig varsling og underretning i lovens §§ 12 og 13 gælder den omfattede kunde. Men fristen regnes fra kundens kendskab, så kunden har brug for, at I giver besked hurtigt og med de oplysninger, kunden skal bruge. → Kundens 24 timer

Kan vi indberette en hændelse for kunden?

Det kan aftales. SAMSIK’s vejledninger beskriver, at kunden kan aftale, at driftsleverandøren foretager underretningen på kundens vegne, men ansvaret for, at den sker rettidigt og korrekt, bliver hos kunden. Skriv i aftalen, hvem der vurderer hændelsen, og hvem der godkender teksten. → Leverandørens pligt til at give kunden besked om hændelser

Vi er driftsleverandør. Kan vi selv være omfattet?

Det kan I. Udbydere af administrerede tjenester står i lovens bilag 1, punkt 9, og definitionen findes i § 3, nr. 34. Om I er omfattet, afhænger også af størrelsen. Er I omfattet, bliver test en del af jeres egne forpligtelser og ikke kun et svar til kunden. → MSP og NIS2

Vores kunde er en bank. Gælder NIS2 så?

Som udgangspunkt ikke. Enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed er efter § 1, stk. 2, uden for NIS 2-loven, og kravene bygger i stedet på DORA. Nielco IT er ikke udbyder under TIBER-DK og tilbyder ikke trusselsbaseret penetrationstest efter DORA. → Leverandør til finanssektoren

Kan I rådgive os om, hvad aftalen forpligter os til?

Nej. Nielco IT giver ikke juridisk rådgivning, og sitet beskriver kun, hvad reglerne og vejledningerne siger om test. Spørgsmål om aftalens ordlyd, og om I selv er omfattet, hører hjemme hos den, der rådgiver jer om kontrakter og regler. → Hvad en NIS2-kunde ikke kan forvente af en leverandør

Hvad koster en test?

Det afhænger af omfanget: hvor mange dele af leverancen der skal med, hvor komplekse de er, og hvilken dokumentation kunden skal have. Et smalt og præcist omfang er lettere at give tilbud på end et krav om at teste alt. Tilbuddet fra Nielco IT gives ud fra den konkrete opgave. → Pris og tilbud

Er der opgaver, I ikke påtager jer?

Ja. Nielco IT påtager sig ikke opgaver i straffesager eller for personer med kriminelle relationer. Virksomheder, der vil teste egne systemer eller leverancer, også fordi en kunde har stillet krav om det, er velkomne. Hele afgrænsningen står på en side for sig. → Det påtager vi os ikke

→ Kontakt · Tlf. 70 13 63 23