Hvad en NIS2‑kunde ikke kan forvente af en leverandør

Når en kunde er omfattet af NIS2, kan kravene til leverandørerne vokse hurtigt, og det er ikke altid klart, hvor de holder op. Svaret hviler på to kilder: Styrelsen for Samfundssikkerheds vejledning om lovens anvendelsesområde, som siger, at kunden ikke behøver at stille præcis de samme krav til leverandørerne, som kunden selv er underlagt, og den enkle kendsgerning, at en penetrationstest kun kan dokumentere en afgrænset undersøgelse.

Kunden kan godt bede om mere i en aftale. Det, reglerne ikke kræver, kan stadig blive en del af kontrakten, hvis I accepterer det. Pointen er, at I kan spørge til begrundelsen og foreslå noget, der passer til leverancen. Teksten er ikke juridisk rådgivning.

Hvad vejledningen faktisk siger

SAMSIK’s vejledning om anvendelsesområdet har et kort afsnit om leverandører til omfattede enheder. Her står, at virksomheder, der ikke selv er omfattet, kan mødes med krav, fordi de leverer til en omfattet enhed. Vejledningen siger også, at det ikke betyder, at kunden skal stille præcis de samme krav, som kunden selv er underlagt, eller kræve fx en særlig certificering eller revisionserklæring.

Kunden skal i stedet vurdere de risici, leverancen udgør for kundens net- og informationssystemer. Den vurdering kan føre til forholdsmæssige krav til leverandøren. Ordlyden er værd at kende, når et kravbilag virker som en kopi af kundens egen lovtekst. → Forholdsmæssige krav

Fem ting, kunden ikke kan regne med

Ud fra vejledningen og testens natur er der nogle forventninger, som ikke holder:

At I overtager kundens pligter · kundens foranstaltninger efter NIS 2-lovens § 6 og ledelsens godkendelse efter § 7 er kundens egne. I kan bidrage, men ikke bære dem.
At I lever op til hele loven · hvis I ikke selv er omfattet, gælder loven ikke jer direkte. Kravene til jer kommer fra aftalen.
At en certificering er en forudsætning · vejledningen siger, at kunden ikke behøver at kræve den. Kunden kan vælge at gøre det, men det følger ikke af reglerne.
At testen beviser overholdelse · en test afprøver en afgrænset del på et tidspunkt og kan ikke sige, at nogen opfylder NIS2.
At alt hos jer skal testes · kravet bør følge den leverance, kunden er afhængig af.

Om I selv er omfattet, er et særskilt spørgsmål, som kræver sin egen vurdering. → Er vi selv omfattet af NIS2?

Kundens frister er kundens

Et punkt, der kan blive misforstået, er hændelsesrapporteringen. NIS 2-lovens §§ 12 og 13 handler om den omfattede enheds underretning af myndighederne, med en tidlig varsling senest 24 timer efter, at enheden har fået kendskab til en væsentlig hændelse. Fristen gælder kunden, ikke jer.

Kunden kan have brug for jeres hjælp hurtigt for at nå sin frist, og det kan med god grund stå i aftalen, at I skal give besked uden unødig forsinkelse. SAMSIK’s vejledning om foranstaltninger nævner netop en sådan pligt som et muligt kontraktpunkt. Men en aftale om at give besked er noget andet end at overtage kundens frist over for myndigheden. → Kundens 24 timer

Testen kan ikke dække det, I ikke ejer

En kunde kan bede jer dokumentere test af en platform, I bruger, men ikke ejer. Det kan være en cloudtjeneste, en standardløsning fra en anden producent eller en hostingpartners netværk. I kan ikke give tilladelse til at teste andres systemer, og I kan ikke levere en rapport om noget, ejeren ikke har tilladt at teste.

Det, I kan, er at beskrive ansvarsdelingen, videregive den dokumentation, platformens ejer selv stiller til rådighed, og teste jeres egen opsætning inden for de regler, ejeren har fastsat. → Når kunden vil have testet noget, I ikke ejer

Når kravet går ud over leverancen

Nogle krav beder om en test af hele virksomheden, også det interne kontornet, som kunden aldrig er i berøring med. Det kan være et rimeligt ønske, hvis kontornettet og leverancen hænger sammen, fx fordi supportteknikerne arbejder fra samme net, som de bruger til at komme ind hos kunden. Det kan også være et krav, der er skrevet bredere end nødvendigt.

Spørg, hvilken risiko kunden vil have belyst. Hvis svaret handler om kundens data eller kundens drift, så foreslå en afgrænsning, der følger forbindelsen mellem jer og kunden. Hvis kunden fastholder et bredere krav, er det en forhandling om omfang og udgift, ikke et spørgsmål om, hvad NIS2 siger. → Hele virksomheden eller kun leverancen?

Sådan svarer I på et krav, der virker for stort

Et krav, der går ud over det, reglerne kræver, skal ikke afvises med en henvisning til en vejledning alene. Kunden har sine egne grunde, og et svar, der kun citerer myndigheden, kan virke afvisende. Prøv i stedet denne rækkefølge:

Spørg til risikoen · hvad er kunden bekymret for, og hvilken del af leverancen handler det om?
Vis det, I har · eksisterende test, politikker og svar, der dækker en del af kravet.
Foreslå et alternativ · en afgrænset test af det, kunden er afhængig af, med en aftalt dokumentation.
Henvis til vejledningen · som baggrund for, at kravet kan være forholdsmæssigt, ikke som et argument for at gøre mindre.

Få svaret på skrift. Hvis kunden accepterer et smallere krav, skal det kunne findes, næste gang kravet bliver gennemgået. Det gælder også, hvis personen hos kunden, der godkendte det, har skiftet job, og en ny indkøber læser aftalen for første gang. En kort note om, hvorfor afgrænsningen blev valgt, sparer jer for at tage hele diskussionen igen.

Det skal I lade være med

At afvise et krav med en henvisning til loven alene · spørg til risikoen bag kravet først.
At acceptere at bære kundens frister · aftal en pligt til at give besked, ikke kundens ansvar over for myndigheden.
At love en test af systemer, I ikke ejer · tilladelsen ligger hos ejeren.
At skrive under på overholdelse af NIS2 · ingen test kan dokumentere det.
At læse vejledningen som en ret til at gøre mindre · den beskriver, hvad kunden ikke behøver, ikke hvad I kan nægte.

Hvad kan og ikke kan konkluderes

Vejledningen viser, at kundens krav til leverandører ikke behøver at være en kopi af kundens egne pligter, og at de bør bygge på en vurdering af leverancen. Den siger ikke, hvilke konkrete krav en bestemt kunde må stille. Det afgøres af kundens risikovurdering og af det, parterne aftaler. En test kan dokumentere en afgrænset undersøgelse, men ikke at kunden eller I opfylder NIS2.