Hvorfor kræver kunden en penetrationstest med henvisning til NIS2?

Når en kunde skriver, at I skal få lavet en penetrationstest “på grund af NIS2”, lyder det, som om loven stiller kravet direkte til jer. Sådan hænger det ikke nødvendigvis sammen. Kunden er omfattet og skal selv kunne vise, at risikoen fra leverandører er håndteret, og at sikkerhedsforanstaltninger bliver vurderet. Testen af jeres leverance er den måde, kunden har valgt at få et svar på.

Kort sagt: NIS 2-loven pålægger kunden at styre sikkerheden i forsyningskæden og at have procedurer for at vurdere, om foranstaltningerne virker. Lovens bemærkninger nævner penetrationstest som et eksempel på en teknisk test. Kravet til jer er derfor kundens oversættelse af egne pligter, og det er aftalen med kunden, der afgør, hvad I skal levere.

To bestemmelser ligger bag

Den danske NIS 2-lov opregner i § 6, stk. 1, de foranstaltninger, som væsentlige og vigtige enheder som minimum skal have. To af dem forklarer det meste af det brev, I har fået.

§ 6, stk. 1, nr. 4 · forsyningskædesikkerhed, herunder de sikkerhedsmæssige forhold mellem enheden og dens direkte leverandører eller tjenesteudbydere.
§ 6, stk. 1, nr. 6 · politikker og procedurer til vurdering af, om foranstaltningerne til styring af cybersikkerhedsrisici er effektive.

Nr. 4 er grunden til, at kunden overhovedet kigger på jer. Nr. 6 er grunden til, at kunden ikke nøjes med en beskrivelse, men vil se noget afprøvet. Bestemmelserne svarer til direktivets artikel 21, stk. 2, litra d og f. → Effektivitet af foranstaltninger

Hvor penetrationstesten kommer ind

Ordet penetrationstest står ikke i selve lovteksten. Det står i bemærkningerne til § 6, nr. 6, i lovforslaget (L 141, s. 92), og SAMSIK gengiver dem i sin vejledning om foranstaltninger. Ifølge dem skal enhederne have politik og procedurer for at vurdere effektiviteten og for at vurdere behovet for tekniske tests, for eksempel sårbarhedsscanninger eller penetrationstests.

Vejledningen tilføjer i afsnit 6.b, at enheden ud fra en risikovurdering fastlægger behov, typer og hyppighed af tests. Den nævner også, at test kan udføres af enheden selv eller af en tredjepart. Når kunden så beder jer om en penetrationstest, er det et valg truffet ud fra kundens egen vurdering af, hvor meget jeres leverance betyder for kundens systemer.

Det, loven ikke pålægger jer

Er I ikke selv omfattet, har I ingen pligt efter § 6. SAMSIK skriver i vejledningen om anvendelsesområdet, afsnit 8, at virksomheder uden for loven kan møde krav, fordi de leverer til en omfattet enhed. Samme afsnit siger, at kunden ikke skal stille præcis de samme krav, som kunden selv er underlagt, og ikke skal kræve en bestemt certificering eller revisionserklæring. Kravene skal ifølge vejledningen være forholdsmæssige i forhold til den risiko, leverancen udgør.

Det betyder ikke, at I kan afvise kravet med henvisning til loven. Har I skrevet under på en aftale med et testkrav, er det aftalen, der binder. Men det giver jer et grundlag for at spørge, hvorfor netop denne test er rimelig for netop jeres leverance. → Grænser for leverandørkrav · → Er vi selv omfattet?

Teksten er ikke juridisk rådgivning. Spørgsmål om, hvad aftalen forpligter jer til, hører hjemme hos den, der normalt rådgiver jer om kontrakter.

Hvad kunden vil have belyst

Kunden vil ikke nødvendigvis være interesseret i jeres virksomhed som helhed. Kunden er interesseret i de steder, hvor jeres leverance kan påvirke kundens drift eller data. Det kan være en supportforbindelse ind i kundens net, en kundeportal, som kundens medarbejdere logger på, eller en integration, der flytter data mellem jeres system og kundens.

Et tænkt eksempel: En underleverandør til et vandværk drifter et overvågningssystem med fjernadgang. Vandværket er omfattet og skal vurdere risikoen ved leverandørens adgang. En test af den adgang og det system, vandværket bruger, giver et svar på det spørgsmål. En test af underleverandørens mailserver gør ikke. → Hvilke systemer testes?

Kunden skal selv kunne svare en myndighed

En del af presset kommer fra kundens eget tilsyn. Loven giver i § 21 myndighederne mulighed for blandt andet sikkerhedsaudits og sikkerhedsscanninger hos væsentlige enheder, mens tilsynet med vigtige enheder efter § 24 er reaktivt og sker efter indikationer på manglende overholdelse. Kunden ved derfor, at spørgsmålet om leverandører kan blive stillet, og vil hellere have dokumentationen klar end skulle skaffe den bagefter.

For jer betyder det, at kunden kan have brug for at vise jeres testresultat til andre end sine egne folk. Aftal tidligt, hvem der må se hvad, og om et resumé er nok til det formål. Det er lettere at aftale, før rapporten findes, end når den ligger i kundens indbakke.

Et svar, kunden kan bruge

Kunden skal kunne lægge jeres dokumentation ind i sin egen styring og i sidste ende kunne forklare den over for en myndighed. SAMSIK’s vejledning nævner, at testens type, omfang, tidspunkt og resultat bør dokumenteres, så tredjeparts eksperter kan forstå det. Det er en god målestok for det, I afleverer, selv om pligten ligger hos kunden.

Begynd derfor med kundens spørgsmål og ikke med testen. Find ud af, hvilken del af leverancen kravet gælder, hvad kunden skal have udleveret, og hvornår. Er brevet bredt formuleret, så send kunden et kort forslag til omfang og tidsplan, som kunden kan godkende. → Sådan deler I kundens NIS2-krav op · → Send kunden en plan for testen

Hvordan en penetrationstest generelt bestilles og gennemføres, er forklaret på penetrationtest.dk.

Det skal I lade være med

At læse kravet som en lovpligt for jer · pligten efter § 6 ligger hos den omfattede kunde, medmindre I selv er omfattet.
At bestille en test af alt · omfanget bør følge det, kunden er afhængig af.
At love kunden, at I opfylder NIS2 · en test dokumenterer en afgrænset undersøgelse, ikke opfyldelse af en lov.
At ignorere kravet, fordi I ikke er omfattet · aftalen kan forpligte jer uanset loven.
At svare uden at spørge · et uklart krav bliver ikke klarere af en hurtig rapport.

Hvad kan og ikke kan konkluderes

En penetrationstest kan vise kunden, at en aftalt del af jeres leverance er afprøvet på et bestemt tidspunkt, og hvad der blev fundet og rettet. Den kan indgå i kundens vurdering af forsyningskæden og af effektiviteten af kundens foranstaltninger.

Testen kan ikke afgøre, om kunden lever op til loven, og den siger intet om dele af jeres virksomhed, som ikke var med. Hvad kunden og en myndighed lægger vægt på, er heller ikke noget, testen kan bestemme.