Fra kundens NIS2‑brev til afleveret dokumentation: guide i syv trin

Et NIS2-krav fra en kunde sætter et forløb i gang, der går fra et brev eller et kravbilag over en aftale og en penetrationstest til et dokument, kunden kan lægge i sin leverandøropfølgning. Hvert trin har sine egne spørgsmål, og sitets artikler går i dybden med dem enkeltvis. Guiden her samler forløbet i syv trin og peger på de artikler, der hører til hvert af dem.

Rækkefølgen er ikke fast. Har kunden allerede sendt et færdigt kontraktudkast, starter I ved trin 2. Har I en frisk test, kan I gå direkte til trin 7 og se, om den kan bruges. Guiden er ikke juridisk rådgivning, og den erstatter ikke en vurdering af jeres egen aftale.

Trin 1: Find ud af, hvad der binder jer

Begynd med at skille to spørgsmål ad. Det første er, om I selv er omfattet af NIS 2-loven, fordi I hører til en af lovens sektorer og har den rette størrelse. Det andet er, hvad aftalen med kunden forpligter jer til. Er I ikke selv omfattet, kommer jeres pligter fra aftalen og ikke fra loven, og så er det kundens krav, der skal læses præcist. → Er vi selv omfattet af NIS2?

Find også ud af, hvilken tekst kunden er underlagt. En dansk kunde følger som udgangspunkt NIS 2-loven, mens bestemte digitale udbydere også er bundet af gennemførelsesforordning (EU) 2024/2690. Hvis grundbegreberne er nye, så start med NIS2 kort fortalt for leverandører.

Trin 2: Del kundens brev op

Et brev med henvisning til NIS2 kan blande flere krav, og testen skal kun svare på ét af dem. Sortér kravene i test, politikker, besked om hændelser, revision og krav til jeres egne underleverandører. Er kravene formuleret som kontraktpunkter, kan de sammenholdes med forordningens otte punkter, så I kan se, hvilke af dem en test overhovedet kan dokumentere. → Kundens brev om NIS2

Oversigten over de otte punkter står i Forordningens kontraktpunkter læst af leverandøren. Notér også, hvornår kunden skal have svar. En frist i brevet er kundens planlægning og ikke nødvendigvis en frist, der står i loven, så den kan være til at tale om, hvis testen skal have tid til at blive gjort ordentligt.

Trin 3: Spørg til kundens begrundelse

Kundens krav skal bygge på kundens egen risikovurdering. Spørg derfor, hvorfor kunden vil have testen, og hvad den skal vise: at en bestemt foranstaltning virker, at adgangen ind til kunden er sikret, eller at leverancen kan tåle et angreb udefra. Svaret afgør omfanget og gør det lettere at sige nej til test af dele, kunden ikke har brug for. → Kundens risikovurdering som grundlag for jeres test

Er kravet uklart, kan I selv foreslå en plan og bede kunden godkende den. Har kunden klassificeret jer som kritisk leverandør, kan kravene til testen og opfølgningen være større, se Kritisk leverandør.

Trin 4: Afgræns testen

Testen bør tage udgangspunkt i det, kunden er afhængig af: supportadgangen, portalen, integrationerne og de værktøjer, I administrerer kunden med. Hele virksomheden er ikke nødvendigvis det rette omfang. Aftal samtidig, hvor grænsen går mod kundens eget miljø og mod en hostingpartner, og hvem der skal give tilladelse til hvad. → Hvilke systemer forventer NIS2-kunden testet?

Er I en lille leverandør med få systemer, kan omfanget være lille. Det vigtige er, at det følger kundens begrundelse fra trin 3, og at afgrænsningen står skrevet, før testen begynder.

Trin 5: Vælg testtype og tester

En sårbarhedsscanning og en penetrationstest svarer på forskellige spørgsmål, og et krav om “teknisk test” kan dække begge dele. Vælg den type, der passer til det, kunden vil have belyst. Spørg også, om kunden stiller krav til testeren, fx at testen udføres af en uafhængig tredjepart, eller at kunden skal godkende, hvem der tester. → Sårbarhedsscanning eller penetrationstest

Uafhængighed kan fx betyde, at testeren ikke er den, der har bygget eller drifter det, der testes. Hvad kunden lægger i ordet, kan I læse mere om i Kunden kræver test af en uafhængig tredjepart. Aftal desuden tidspunktet med dem, der driver leverancen. En test kan belaste systemerne, og kunden skal måske varsles, hvis den rører ved forbindelser ind til kundens eget miljø.

Trin 6: Ret fundene, og hold styr på status

Testen er ikke slut, når rapporten er skrevet. Kritiske fund skal rettes, og kunden vil vide, hvornår det sker. Før en liste med hvert fund, dets alvorlighed, hvad I har gjort, og hvornår. En retest kan bekræfte, at rettelserne virker, og et fund, I vælger ikke at rette, skal kunne begrundes. → Status på rettelser

Står der en frist for rettelser i aftalen, er det den, der gælder. Er der ingen frist, kan I selv foreslå en, der følger fundenes alvorlighed.

Trin 7: Aflever det, kunden kan bruge

Kunden skal kunne vise sin myndighed, at leverandøren er fulgt op. Forordningens punkt 6.5.2, litra c, nævner testens type, omfang, tid og resultater som det, der skal dokumenteres, og de fire oplysninger er et godt udgangspunkt. Aftal, om kunden skal have den fulde rapport, et resumé eller en erklæring fra testeren, og send det ad en sikker vej. → Hvad skal kunden have?

Beder kunden om en NIS2-erklæring fra revisor, er det en anden slags dokument end testrapporten. Hvordan testen kan indgå i den, står i NIS2-erklæringen fra revisor og penetrationstesten. Kunden følger op med planlagte mellemrum, så tænk forløbet som noget, der kommer igen. Gem afgrænsningen, aftalen om formen og listen over fund, så næste runde kan begynde ved trin 3 i stedet for ved trin 1, og så kunden kan se udviklingen fra den ene test til den næste.

Det skal I lade være med

At bestille en test, før kravet er delt op · testen kan ende med at svare på det forkerte.
At teste hele virksomheden for en sikkerheds skyld · omfanget skal følge kundens begrundelse.
At aflevere rapporten uden en aftale om formen · kunden har måske kun brug for et resumé.
At glemme fundene efter afleveringen · kunden spørger til status ved næste opfølgning.
At springe trin 1 over · jeres egen status som omfattet eller ej ændrer, hvad I skal.

Hvad kan og ikke kan konkluderes

De syv trin beskriver et forløb, der kan give kunden et brugbart svar på et NIS2-krav om test. De afgør ikke, hvad jeres aftale skal indeholde, eller om kunden vil acceptere dokumentationen, for det afhænger af kundens risikovurdering og af forhandlingen. Følger I trinene, har I et grundlag for at forklare kunden, hvad testen dækker, og hvad den ikke dækker.