Hændelse eller testfund: hvornår et fund skal behandles som en hændelse

Et testfund viser, at noget kan ske. En hændelse er noget, der er sket eller er ved at ske. Et fund i en penetrationstest er som udgangspunkt en svaghed og ikke en hændelse, men grænsen bliver uklar, når testeren finder spor af, at andre har været inde, eller når en svaghed har stået åben på en måde, der kan være udnyttet. Svaret hviler på NIS 2-lovens definitioner og på en simpel regel: tegn på faktisk misbrug behandles som en mulig hændelse, indtil det modsatte er vist.

Hvem der vurderer, afhænger af, hvis systemer og hvis pligter der er tale om. Over for en NIS2-kunde er det kunden, der afgør, om noget skal underrettes efter loven. Teksten er ikke juridisk rådgivning.

Lovens tre ord

NIS 2-lovens § 3 definerer de begreber, der skiller fund fra hændelser:

Sårbarhed (nr. 29) · en svaghed, modtagelighed eller fejl ved ikt-produkter eller tjenester, som kan udnyttes af en cybertrussel.
Hændelse (nr. 12) · en begivenhed, der bringer tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller tjenester i fare.
Nærvedhændelse (nr. 22) · en begivenhed, der kunne have bragt det samme i fare, men som det lykkedes at forhindre, eller som ikke indtraf.

Et almindeligt testfund er en sårbarhed. Testerens egen udnyttelse af svagheden inden for en aftalt test er ikke en hændelse; den er bestilt og kontrolleret. Hændelsen opstår, hvis en anden end testeren har udnyttet eller forsøger at udnytte svagheden.

Tre situationer, der kræver en vurdering

Almindelige fund hører hjemme i den proces for rettelser, I allerede har aftalt med kunden. Tre situationer bør i stedet føre til en vurdering af, om der er tale om en hændelse:

Spor af andre · testeren støder på konti, filer, forbindelser eller ændringer, som ingen kan forklare.
Åben adgang med følsomme data · en svaghed har gjort data tilgængelige uden login, og der er ingen logning, der kan vise, om nogen har hentet dem.
Kendt udnyttet svaghed · fundet svarer til en svaghed, som myndigheder eller producenten oplyser bliver udnyttet aktivt.

I den anden og tredje situation er spørgsmålet, om der er tegn på misbrug. Mangler logning, kan svaret være, at det ikke kan udelukkes. Også det er en oplysning, kunden skal have. Skriv derfor ned, hvilke logfiler I har set på, hvor langt tilbage de rækker, og hvad de kan og ikke kan vise. Den beskrivelse er mere værd for kunden end en kort konklusion uden grundlag, og den gør det muligt for kunden at stille de rigtige opfølgende spørgsmål. → Opdager I et angreb?

Hvem der vurderer hvad

SAMSIK’s vejledning om hændelsesunderretning beskriver, at en enhed, der har opdaget en mistænkelig hændelse, eller som får en potentiel hændelse bragt til sin opmærksomhed af en tredjepart, fx en kunde, rettidigt skal vurdere, om den udgør en væsentlig hændelse. For de digitale udbydere, gennemførelsesforordning 2024/2690 gælder for, beskriver bilagets punkt 3.4.1 en tilsvarende vurdering af mistænkelige begivenheder.

Det giver en arbejdsdeling:

I vurderer jeres egen del · er der tegn på misbrug af jeres systemer, og hvad er ramt?
Kunden vurderer sin egen pligt · er det en væsentlig hændelse for kunden, og skal den underrettes?
Testeren beskriver, hvad der er set · uden at drage konklusioner om, hvem der står bag.

Er I selv en væsentlig eller vigtig enhed, fx som udbyder af administrerede tjenester, har I også jeres egen vurdering efter loven. → Væsentlig hændelse

Når testeren finder spor under testen

Det bør stå i aftalen med testeren, hvad der sker, hvis der dukker tegn på en uvedkommende op: testen sættes på pause, en navngiven person hos jer får besked med det samme, og testeren lader sporene være. Det er derfor også vigtigt, at testeren ikke rydder op i noget, der ikke er testerens eget. Generel viden om at stoppe en test ved tegn på angreb findes på penetrationtest.dk.

Hvis den del, hvor sporene findes, også er kundens drift, skal kunden have besked, så snart I ved nok til at sige, hvad der er set og hvor. Kunden har sine egne frister, som løber fra kundens kendskab. → Kundens 24 timer

Hvad I skriver til kunden

Beskeden til kunden afhænger af, hvad vurderingen viser:

Kun en svaghed · fundet følger den almindelige proces og aftalte frister.
Svaghed, hvor misbrug ikke kan udelukkes · skriv det ligeud, og beskriv, hvad I gør for at få det afklaret.
Tegn på misbrug · behandl det som en mulig hændelse, og følg aftalen om besked om hændelser.

Undgå ord, der lover for meget i begge retninger. “Ingen tegn på misbrug” er noget andet end “ikke misbrugt”, og forskellen kan få betydning for kundens egen vurdering. → Besked til kunden om hændelser

Et tænkt eksempel

En leverandør af en webportal til en affaldsvirksomhed får testet portalen. Testen finder, at en eksportfunktion har kunnet hente kundelister uden login. Leverandøren lukker funktionen og undersøger logfilerne. De viser hentninger fra adresser, som ingen kan genkende.

Leverandøren skriver samme dag til affaldsvirksomheden, at svagheden er lukket, at logfilerne viser ukendte hentninger, og at det ikke kan udelukkes, at kundedata er blevet hentet. Affaldsvirksomheden vurderer selv, om det er en væsentlig hændelse efter NIS 2-loven, og om der også er tale om et brud på persondatasikkerheden. Leverandøren leverer tidslinje og logudtræk. → Kritisk fund, der berører kunden

Det skal I lade være med

At afvise et fund som hændelse uden at have set efter · uden logning ved I det ikke.
At lade testeren rydde op i ukendte spor · det kan fjerne det, en undersøgelse skal bruge.
At afgøre kundens underretningspligt · det er kundens vurdering.
At kalde en åben svaghed for en nærvedhændelse uden grundlag · ordet forudsætter, at noget faktisk blev forsøgt eller forhindret.
At vente med kunden, til rapporten er færdig · en mulig hændelse kan ikke vente på rapporten.

Hvad kan og ikke kan konkluderes

En penetrationstest kan finde svagheder og, i nogle tilfælde, spor, der peger på, at andre har været inde. Den kan ikke vise, hvad en angriber har gjort, eller hvornår det skete. Det kræver en undersøgelse af hændelsen, som er en anden opgave end en test. Testens fund er et af de grundlag, kunden bruger i sin egen vurdering.

Tjekliste, når et fund kan være en hændelse

☐ Er der tegn på, at andre end testeren har brugt svagheden?
☐ Kan logning bekræfte eller afkræfte misbrug?
☐ Er testen sat på pause, og er sporene bevaret?
☐ Har kunden fået besked om, hvad der er set, og hvad der ikke vides?
☐ Har I selv vurderet, om I har pligter efter loven?
☐ Er det klart, hvem der vurderer kundens underretning?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 12, 22 og 29, om hændelse, nærvedhændelse og sårbarhed.
SAMSIK, vejledning om hændelsesunderretning (juni 2025): afsnit 4 om vurdering af mistænkelige hændelser, også når de bringes frem af en tredjepart.
Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 3.4.1 om vurdering af mistænkelige begivenheder. Gælder for de digitale udbydere, der er nævnt i artikel 1.

Senest gennemgået: oktober 2026.