Virksomheden er én person med en bærbar computer, en mailkonto og et login til kundens systemer, og nu er der kommet et brev om NIS2 og penetrationstest. Brevet er måske skrevet til alle leverandører, fra driftsselskabet til konsulenten. Svaret hviler på, at kundens krav skal stå i forhold til leverancen: for en freelancer handler det rimelige om egen enhed, eget login og adgangens omfang, og kundens egne kontroller er en stor del af svaret. En penetrationstest giver først mening, når der er noget hos jer, kunden er afhængig af.
Styrelsen for Samfundssikkerhed skriver, at omfattede enheder ikke skal stille præcis de samme krav til leverandørerne, som de selv er underlagt. Teksten er ikke juridisk rådgivning.
Hvorfor brevet også kommer til jer
NIS 2-lovens § 6, stk. 1, nr. 4, kræver, at kunden tager højde for sikkerheden i forholdet til sine direkte leverandører og tjenesteudbydere. En konsulent med adgang til kundens systemer er en direkte leverandør, uanset virksomhedens størrelse. Er I hyret gennem et andet firma, er det den part, kunden har aftalen med, der er direkte leverandør, og kravet kan nå jer gennem den part i stedet. Så er det den aftale, I skal svare efter. → Krav i andet led
Læs også, om brevet er en forespørgsel, eller om kravet allerede står i jeres aftale. Et standardbrev til alle leverandører kan være et spørgsmål, der kan besvares med en beskrivelse, mens et kontraktkrav skal afklares med kunden, før I vælger, hvordan det opfyldes.
Styrelsens vejledning om foranstaltninger anbefaler en risikobaseret tilgang, hvor kravene står i forhold til den enkelte leverances betydning. Den nævner også baggrundskontrol af leverandørens personale, hvis personalet arbejder med kundens kritiske aktiver. For jer betyder det, at kunden kan spørge til jeres adgang og jeres måde at arbejde på, men at kravet bør passe til det, I faktisk gør. → Forholdsmæssige krav
Det, der kan angribes hos én person
Skriv op, hvad I har, der kan bruges til at nå kunden:
- Den bærbare computer · hvor arbejdet foregår, og hvor kundens filer kan ligge.
- Mailkontoen og cloudlageret · hvor dokumenter, adgangsoplysninger og korrespondance med kunden ligger.
- Telefonen · hvis den bekræfter jeres login med en kode eller en godkendelse.
- Login til kundens systemer · de konti, kunden har givet jer, og hvad de giver adgang til.
- Kundens data hos jer · udtræk, tegninger eller rapporter, I har fået til opgaven.
Listen er kort, og det er en fordel for begge parter. Den viser kunden, hvor risikoen ligger, og den gør det lettere at svare præcist.
Det, der kan dokumenteres uden en test
For en freelancer kan en beskrivelse af egne forholdsregler være mere brugbar for kunden end en test. Den kan fx dække:
- Enheden · at computeren er krypteret, opdateres og låses, og hvad der sker, hvis den bliver væk.
- Login · at mail, cloudlager og kundens systemer kræver mere end en adgangskode.
- Adgangens omfang · hvilke systemer og roller kunden har givet jer, og at konti ikke deles med andre.
- Kundens data · hvor de ligger, og hvornår de slettes eller afleveres efter opgaven.
- Hændelser · hvem hos kunden I kontakter, hvis computeren bliver stjålet eller en konto misbrugt.
En sådan beskrivelse er ikke en test, og den skal ikke kaldes det. Den svarer på det, kunden har brug for at vide om en enkelt person. → Når testen ikke er svaret
Kundens kontroller er en del af svaret
Den vigtigste sikring af jeres adgang ligger hos kunden. Det er kunden, der opretter kontoen, bestemmer rettighederne, kræver ekstra login og logger, hvad der sker. For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, siger bilagets punkt 11.2.2, litra d, at tredjeparters adgangsrettigheder skal begrænses i omfang og varighed. Punkt 6.7.2, litra g, åbner for kun at tillade adgang fra udstyr, enheden selv har godkendt.
Udleverer kunden en computer, eller går jeres adgang gennem kundens egen løsning, flytter en del af spørgsmålet over til kunden. Kunden kan også vælge at lade jeres adgang indgå i sin egen test. → Fælles login med kunden · → Kunden vil selv teste
Når en penetrationstest giver mening
En test af noget hos jer giver mening, når der findes noget, kunden er afhængig af, og som I selv driver. Det kan være en server med kundens data, en webløsning eller et værktøj, I har udviklet, og som kører hos kunden. Så er omfanget lille og kan beskrives præcist, fx som den ene server og den adgang, der fører til den. → Lille leverandør med få systemer
Er det, I bruger, en mail- og cloudtjeneste drevet af en anden udbyder, er det udbyderens dokumentation og jeres opsætning af kontoen, der svarer på spørgsmålet, ikke en penetrationstest af tjenesten. Hvad en lille virksomhed generelt bør teste for sin egen skyld, er forklaret på penetrationtest.dk.
Et tænkt eksempel
En selvstændig automationsingeniør har fjernadgang til et vandværks styringer og får vandværkets brev om NIS2, hvor der står, at leverandører skal dokumentere en årlig penetrationstest. Ingeniøren har ingen servere, kun en bærbar computer, en mailkonto og en telefon.
Ingeniøren skriver en side om computeren, login, adgangens omfang og kundens data, og foreslår, at vandværket lader fjernadgangen indgå i sin egen test. Vandværket accepterer beskrivelsen og noterer, at en test af leverandøren ikke er relevant, så længe ingeniøren ikke driver systemer for værket.
Det skal I lade være med
- At købe en test af noget, kunden ikke er afhængig af · den giver kunden intet at bruge.
- At kalde en beskrivelse af egne forholdsregler for en test · den er noget andet.
- At ignorere brevet, fordi det passer til en større leverandør · svar og foreslå det, der passer.
- At gemme kundens data længere end opgaven kræver · det udvider det, der kan angribes.
- At love, at kunden dermed lever op til NIS2 · den vurdering er kundens.
Hvad kan og ikke kan konkluderes
Reglerne viser, at kunden skal styre sine leverandører, og at kravene bør stå i forhold til leverancen. En beskrivelse af enhed, login og adgang kan vise, hvordan én person arbejder. Den viser ikke, at alt virker i praksis, og den erstatter ikke kundens egen styring af adgangen.
Tjekliste til svaret
- ☐ Har I skrevet op, hvad der hos jer kan bruges til at nå kunden?
- ☐ Er enhed, login og kundens data beskrevet på en side?
- ☐ Ved I, hvilke rettigheder kunden har givet jer?
- ☐ Har I spurgt, om jeres adgang kan indgå i kundens egen test?
- ☐ Driver I noget, kunden er afhængig af, så en test giver mening?
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4.
- Styrelsen for Samfundssikkerhed, vejledning om anvendelsesområdet (2025): afsnit 8 om leverandører til omfattede enheder.
- Styrelsen for Samfundssikkerhed, vejledning om implementering af cybersikkerhedsforanstaltninger (juni 2025): afsnit 4 om forsyningskædesikkerhed, s. 28 til 30.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 6.7.2, litra g, og 11.2.2, litra d.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Lille leverandør med få systemer · Rådgiver med kundens data
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
