Kunden henviser til både ISO 27001 og NIS2: hvilket testbevis passer til hvad?

Et leverandørkrav, der nævner ISO 27001 og NIS2 i samme sætning, ligner ét krav, men bygger på to forskellige begrundelser. Svaret hviler på at skille dem ad: NIS2 er lovgivning, der binder kunden, mens ISO/IEC 27001 er en frivillig standard for et ledelsessystem. Én afgrænset penetrationstest kan bruges i begge sammenhænge, men den dokumenterer noget forskelligt i hver af dem.

Over for NIS2-kunden viser testen, at den leverance, kunden er afhængig af, er afprøvet, og at fundene er håndteret. I ISO 27001-sammenhæng viser den, at en kontrol i et ledelsessystem er afprøvet og fulgt op. Ingen af delene er en certificering, og ingen af dem er en erklæring om, at loven er overholdt.

Læs, hvem standarden skal gælde for

Formuleringen afgør meget. Der er stor forskel på disse tre sætninger i et kravbilag:

Leverandøren skal være certificeret · kravet gælder jeres ledelsessystem og dokumenteres med et certifikat, ikke med en test.
Leverandøren skal arbejde efter standarden · kunden forventer en praksis, der ligner standardens, men uden at kræve en certificering.
Kunden følger selv standarden · henvisningen forklarer kundens egne rutiner for leverandørstyring og stiller ikke i sig selv et krav til jer.

Spørg kunden, hvis sætningen kan læses på flere måder. Et kort skriftligt svar sparer jer for at bestille noget, der ikke passer. → Kundens brev om NIS2

Hvad NIS2-henvisningen spørger om

NIS 2-loven pålægger omfattede enheder at have foranstaltninger, der bl.a. omfatter forsyningskædesikkerhed og politikker og procedurer til vurdering af foranstaltningernes effektivitet (§ 6, stk. 1, nr. 4 og 6). Kravet til jer er kundens måde at håndtere sin egen leverandørrisiko på.

Styrelsen for Samfundssikkerheds vejledning om foranstaltninger nævner eksempler på, hvad kontrakter med leverandører kan indeholde, bl.a. ret til revision eller revisionsrapporter og en forpligtelse til at håndtere sårbarheder, der udgør en risiko for kundens systemer. En test af leverancen passer til netop de punkter. Den samme myndigheds vejledning om anvendelsesområdet siger, at kunden ikke behøver at kræve fx en særlig certificering af sine leverandører. → Certificering og NIS2

Testbeviset i NIS2-sammenhæng skal derfor pege på leverancen: kundeportalen, integrationen eller jeres fjernadgang til kundens drift.

Hvad ISO 27001-henvisningen spørger om

Standarden handler om et ledelsessystem for informationssikkerhed med risikovurdering, valgte kontroller og løbende forbedring. Om og hvordan en penetrationstest indgår, afhænger af jeres egen risikovurdering og de kontroller, I har valgt. Det er certificeringsorganet, der vurderer, om dokumentationen er tilstrækkelig.

Hvis I er certificeret, ligger testen inden for ledelsessystemets anvendelsesområde, og fundene skal behandles i de processer, systemet beskriver. Kunden, der henviser til standarden, kan have et ønske om at se, at testen ikke står alene, men bliver fulgt op som en del af en fast praksis. → Kunden vil se jeres testpolitik

SAMSIK’s vejledning om foranstaltninger henviser ved hvert emne til punkter i ISO/IEC 27001:2023. Det viser, at de to rammer taler om en række af de samme forhold, og at kunden derfor kan bruge standardens sprog, når NIS2-kravet skal formuleres.

Én test, to spørgsmål

En test kan dække begge henvisninger, når afgrænsningen er lagt rigtigt. Tre forhold skal passe sammen:

Leverancen · testen omfatter den del, NIS2-kunden er afhængig af, ikke kun jeres kontornet.
Anvendelsesområdet · samme del ligger inden for jeres ledelsessystem, hvis ISO-delen handler om jer.
Opfølgningen · fund registreres, prioriteres og lukkes eller accepteres efter jeres egen procedure.

Ligger leverancen uden for ledelsessystemets anvendelsesområde, kan testen stadig besvare NIS2-delen, men den bidrager ikke til certificeringen. Sig det åbent til kunden i stedet for at lade de to beviser glide sammen. → Fra effektivitetskrav til testplan

Hvilket bevis passer til hvad

Kunden kan få flere dokumenter, og hvert af dem besvarer sit eget spørgsmål:

Certifikat og anvendelsesområde · viser, at ledelsessystemet er auditeret af et certificeringsorgan. Det siger ikke, at leverancen er testet.
Resumé eller rapport fra testen · viser, hvad der blev afprøvet, hvornår og med hvilket resultat.
Status på rettelser · viser, at alvorlige fund er håndteret, eller hvornår de bliver det.
Beskrivelse af jeres testpraksis · viser, at test sker planlagt og ikke kun på opfordring.

ENISA’s tekniske vejledning til gennemførelsesforordning 2024/2690 nævner både certificeringer og leverandørspørgeskemaer som mulige grundlag, når en enhed vurderer en leverandørs sikkerhedspraksis. Vejledningen er ikke bindende, men den forklarer, hvorfor kunden kan bede om flere slags dokumentation på én gang. → Hvad skal kunden have?

Den generelle forskel på en test og en audit står på penetrationtest.dk.

Når I ikke har et ledelsessystem

En mindre leverandør er ikke nødvendigvis certificeret eller i gang med at blive det. Det betyder ikke, at ISO-henvisningen skal ignoreres. Spørg kunden, om den forventer en certificering, eller om en beskrivelse af jeres praksis er nok. Er svaret det sidste, kan testen sammen med en kort redegørelse for, hvordan fund behandles, dække det, kunden faktisk har brug for.

Skriv svaret enkelt: hvad I gør i dag, hvad testen omfattede, og hvem der følger op. Undgå at bruge standardens begreber, hvis de ikke svarer til jeres virkelighed. En kunde, der senere spørger ind til et anvendelsesområde eller en anvendelseserklæring, I ikke har, får et dårligere indtryk end af et ærligt svar fra starten. Har I planer om en certificering, kan de nævnes, men uden en dato, I ikke kan stå inde for.

Det skal I lade være med

At sende certifikatet som svar på testkravet · det dokumenterer ledelsessystemet, ikke afprøvningen af leverancen.
At skrive, at testen gør jer NIS2-compliant · loven gælder kunden, og testen er en afgrænset undersøgelse.
At lade ISO-anvendelsesområdet styre alene · NIS2-kunden spørger til det, kunden selv bruger.
At bestille to test af samme del · ét forløb med begge spørgsmål skrevet ind kan være nok.
At love et certificeringsudfald · den vurdering ligger hos certificeringsorganet.

Hvad kan og ikke kan konkluderes

En test kan dokumentere, at en aftalt del af leverancen er afprøvet på et bestemt tidspunkt, og at fundene er håndteret efter en beskrevet praksis. Den kan indgå i kundens vurdering af jer og i jeres eget ledelsessystem.

Den kan ikke vise, at I er certificeret, at kunden opfylder NIS 2-loven, eller at leverancen er uden svagheder. Teksten er ikke juridisk rådgivning.