Det, NIS2 ikke siger om penetrationstest

Nogle leverandører får at vide, at NIS2 kræver en årlig penetrationstest. Det står ikke i reglerne. Svaret hviler på en gennemlæsning af NIS 2-loven, NIS2-direktivet og gennemførelsesforordning (EU) 2024/2690: Lovens paragraffer nævner slet ikke penetrationstest, direktivets artikler kræver det ikke, og forordningen kræver sikkerhedstest efter en risikovurdering, men nævner kun penetrationstest i en betragtning som én blandt flere muligheder. Intet sted fastsættes et interval, og intet sted pålægges leverandører en bestemt test.

Det betyder ikke, at kravet fra kunden er forkert. Kunden kan have gode grunde til at bede om en penetrationstest, og kravet kan stå i jeres aftale. Men det er kundens valg, og det giver plads til at tale om, hvad testen skal belyse. Teksten er ikke juridisk rådgivning.

Ordet står ikke i lovteksten

NIS 2-lovens § 6, stk. 1, nr. 6, kræver politikker og procedurer til vurdering af effektiviteten af foranstaltningerne. Ordet penetrationstest optræder ikke i lovens paragraffer. Det gør det i bemærkningerne til lovforslaget (L 141, s. 92), som SAMSIK gengiver i sin vejledning om foranstaltninger: politik og procedurer skal også omfatte vurdering af behovet for tekniske test, fx sårbarhedsscanninger eller penetrationstest.

Bemærk ordet behov. Vejledningen siger, at enheden ud fra en risikovurdering skal definere behovet for og frekvensen af forskellige typer test. Penetrationstest er ét eksempel ved siden af sårbarhedsscanning, red team-test, konfigurationsgennemgang, kodegennemgang og andre. Hvilken type der passer, afhænger af, hvad der skal afprøves, og en kunde kan godt nå frem til, at en scanning eller en gennemgang af opsætningen giver et bedre svar. → SAMSIK’s vejledning om tekniske test

Intet fast interval

Hverken loven, direktivet eller forordningen fastsætter, hvor ofte der skal testes. Forordningens bilag, punkt 6.5.2, litra a, siger, at behovet for, omfanget af, hyppigheden af og typen af sikkerhedstest fastlægges på grundlag af risikovurderingen. SAMSIK’s vejledning taler om passende planlagte mellemrum og test ved større ændringer eller væsentlige hændelser.

Et årligt interval kan være fornuftigt for en bestemt løsning, men det er et valg, kunden eller I træffer, ikke noget reglerne foreskriver. For en løsning, der ændres hver måned, kan et årligt interval være for sjældent. For en stabil løsning med få ændringer kan det være mere, end risikoen begrunder. Det er derfor værd at spørge kunden, hvad intervallet bygger på, før det skrives ind i aftalen. ENISA’s ikke-bindende vejledning anbefaler at gennemgå testpolitikken mindst hvert andet år, men det handler om politikken, ikke om testen. → Testfrekvens efter risiko

Intet krav om en ekstern tester

Reglerne kræver ikke, at test udføres af en ekstern part. SAMSIK skriver, at test kan udføres af enheden selv eller af en tredjepart. Forordningens krav om uafhængig gennemgang i bilagets punkt 2.3 handler om en gennemgang af sikkerhedsstyringen, ikke om penetrationstest, og den kan efter ordlyden også udføres af egne medarbejdere, hvis de ikke er over eller under det personale, der gennemgås. Når en kunde kræver en uafhængig tester, er det kundens eget krav. Det kan have gode grunde, fx at kunden skal kunne stole på resultatet uden at kende jeres egne folk. Men så bør det også stå i aftalen, hvad uafhængig betyder, så I ikke bliver uenige om det bagefter. → Kunden kræver test af en uafhængig tredjepart

Ingen bestemt metode eller standard

Forordningen kræver for de relevante enheder, at test udføres efter en dokumenteret testmetode, der omfatter de komponenter, en risikoanalyse har udpeget som relevante. Den peger ikke på en bestemt standard. ENISA nævner nogle standarder og metoder som inspiration, men vejledningen er ikke bindende. Kravet er altså, at metoden er beskrevet, ikke at den følger en bestemt opskrift. Når en kunde nævner en bestemt standard, er det et ønske, I kan efterkomme, men det følger ikke af reglerne. Bed i så fald kunden om at forklare, hvad standarden skal sikre, så testens beskrivelse kan svare på det. → Dokumenteret testmetode

Intet direkte krav om at teste leverandører

Lovens § 6, stk. 1, nr. 4, kræver, at kunden har foranstaltninger for forsyningskædesikkerhed. Det er kundens pligt. Hvordan kunden vurderer jer, er kundens valg, og SAMSIK’s vejledning om anvendelsesområdet siger, at kunden ikke skal stille præcis de samme krav til leverandører, som kunden selv er underlagt. En test af jeres løsning er én måde at give kunden et grundlag på. Et svar på et spørgeskema, en revisionserklæring eller en aftale om ret til audit er andre. Kunden kan også vælge at teste selv, hvis aftalen giver adgang til det. Hvilken form der passer, afhænger af, hvad kunden er afhængig af i jeres leverance. → Hvorfor kræver kunden en penetrationstest med henvisning til NIS2?

Det, reglerne faktisk siger

For at undgå den modsatte misforståelse: reglerne er ikke tomme. De siger, at kunden skal have politikker og procedurer til at vurdere, om foranstaltningerne virker, og at behovet for tekniske test skal vurderes ud fra risiko. For de digitale udbydere, forordningen gælder for, siger de desuden, at testenes type, omfang, tid og resultater skal dokumenteres, og at alvorlige konstateringer skal håndteres. Forordningens betragtning 15 nævner penetrationstest, sårbarhedsscanning, applikationstest, konfigurationstest og sikkerhedsaudits som mulige former.

Generel viden om, hvad en penetrationstest er, og hvordan den adskiller sig fra andre test, findes på penetrationtest.dk.

Det skal I lade være med

At skrive i aftalen, at testen er “påkrævet af NIS2” · skriv, at den er aftalt med kunden.
At afvise kundens krav, fordi loven ikke nævner ordet · kravet kan stadig være rimeligt.
At acceptere et fast interval uden at spørge til risikoen · intervallet bør passe til leverancen.
At tro, at en ekstern test altid er påkrævet · det er kundens krav, hvis det stilles.
At love, at en test opfylder NIS2 · reglerne kræver vurdering af effektivitet, ikke en bestemt test.

Hvad kan og ikke kan konkluderes

Gennemlæsningen viser, at NIS2 ikke indeholder et krav om årlig penetrationstest af leverandører, ikke en fast testtype, ikke et fast interval og ikke et krav om ekstern tester. Den viser ikke, at en penetrationstest er unødvendig. Kundens risikovurdering kan føre til, at netop en penetrationstest af jeres leverance er det rigtige svar, og så er det aftalen, der binder. Forklar gerne forskellen, men brug den til at få et præcist krav, ikke til at undgå test.