Forordningens kontraktpunkter læst af leverandøren: de otte punkter i NIS2‑aftalen

Et udkast til en leverandøraftale fra en NIS2-kunde rummer ikke nødvendigvis kun et krav om test. Der står også noget om hændelser, sårbarheder, revision, underleverandører og medarbejdere. Kilden kan være den samme: bilaget til Kommissionens gennemførelsesforordning (EU) 2024/2690, punkt 5.1.4, som opregner otte forhold, kontrakten med leverandøren skal angive, hvor det er relevant.

Siden samler de otte punkter ét sted, så I kan se, hvilke af dem en penetrationstest kan dokumentere, og hvilke der kræver et andet svar. De enkelte punkter er uddybet i hver sin artikel, som der linkes til undervejs. Teksten er ikke juridisk rådgivning.

Hvor punkterne kommer fra

Forordningen gælder direkte for de digitale udbydere, artikel 1 nævner, fx udbydere af cloudcomputing, datacentre, administrerede tjenester og administrerede sikkerhedstjenester. For dem er punkt 5.1.4 et krav. Andre NIS2-kunder er ikke bundet af forordningen, men låner gerne dens formuleringer, når de skriver kravbilag. Styrelsen for Samfundssikkerhed har en lignende liste i sin vejledning om cybersikkerhedsforanstaltninger, afsnit 4, med eksempler på, hvad aftaler med leverandører kan indeholde. → Gennemførelsesforordning 2024/2690

Læg mærke til indledningen til punkt 5.1.4. Kontrakten skal bygge på kundens politik for forsyningskædesikkerhed og tage hensyn til resultaterne af kundens risikovurdering, og punkterne skal med, “hvor det er relevant”. Forordningen kræver altså ikke, at alle otte punkter står i hver aftale. Den kræver, at kunden har taget stilling til dem ud fra risikoen ved netop jeres leverance. → Kundens risikovurdering som grundlag for jeres test

De otte punkter i overblik

Litra a: cybersikkerhedskrav · krav til leverandøren, herunder sikkerhed ved erhvervelse af IKT-tjenester og produkter. Det er her, et krav om test af leverancen hører hjemme.
Litra b: oplysning, færdigheder og uddannelse · og, hvor det er relevant, certificeringer af leverandørens ansatte. → Certificering og NIS2
Litra c: baggrundskontrol · krav til baggrundskontrol af leverandørens ansatte.
Litra d: underretning om hændelser · leverandøren skal uden unødig forsinkelse underrette kunden om hændelser, der udgør en risiko for kundens net- og informationssystemer.
Litra e: audit · retten til audit eller retten til at modtage auditrapporter.
Litra f: sårbarheder · leverandøren skal håndtere sårbarheder, der udgør en risiko for kundens systemer.
Litra g: underleverandører · krav om underentreprise og, hvis kunden tillader den, cybersikkerhedskrav til underleverandørerne svarende til litra a.
Litra h: kontraktens ophør · leverandørens forpligtelser, når aftalen slutter, fx indhentning og sletning af oplysninger.

Punkterne, en test kan dokumentere

Fire af punkterne har en direkte forbindelse til en penetrationstest. Under litra a kan kunden kræve, at leverancen testes, og hvordan resultatet skal afleveres. Under litra e kan retten til audit omfatte kundens egen test eller en rapport fra en uafhængig tester, og det er derfor vigtigt at aftale, hvem der tester, og hvad kunden får at se. → Ret til revision i aftalen

Litra f handler om at håndtere sårbarheder, og en test er én af de måder, sårbarheder bliver fundet på. Aftalen bør derfor sige, hvad der sker med et fund: hvornår kunden får besked, og hvor hurtigt det skal rettes. → Pligt til at håndtere sårbarheder i leverandøraftalen

Litra d om hændelser er ikke et testpunkt, men det hænger sammen med testen. Finder testeren tegn på, at nogen allerede har været inde, er det ikke længere et fund, men måske en hændelse, som kunden skal have besked om efter aftalen. → Besked om hændelser til kunden

Punkterne, testen ikke svarer på

Litra b, c og h handler om mennesker og om aftalens afslutning. En penetrationstest siger ikke noget om, hvordan jeres medarbejdere er uddannet, om de er baggrundstjekket, eller hvad der sker med kundens data, når samarbejdet slutter. Får I spørgsmål om de tre punkter, skal svaret findes i jeres procedurer for personale og i aftalens bestemmelser om ophør, ikke i testrapporten.

Det er nyttigt at sige højt, når kunden sender ét samlet spørgsmål. Et kravbilag kan spørge, om leverandøren “dokumenterer efterlevelse af punkt 5.1.4”. Svaret kan så deles op: testen dokumenterer en del af litra a, e og f, mens de øvrige punkter dokumenteres på anden vis.

Underleverandørerne i jeres egen kæde

Litra g er det punkt, der får kravet til at bevæge sig videre. Tillader kunden, at I bruger underleverandører, kan kunden kræve, at de opfylder cybersikkerhedskrav svarende til dem, I selv er underlagt. Bruger I en hostingpartner eller en anden udvikler, skal I altså kunne svare på, hvad I kræver af dem, og om deres del af leverancen er med i testen. → Krav til egne underleverandører

Sådan læser I udkastet

Gå udkastet igennem, og skriv ud for hvert krav, hvilket litra det svarer til. Krav, der ikke passer på nogen af de otte, kan komme fra kundens egen politik eller fra en anden kilde, og så kan I spørge, hvad de bygger på. Krav, der svarer til et litra, kan I stadig drøfte omfanget af, fordi forordningen selv knytter punkterne til risikovurderingen.

Spørg også, hvordan kunden vil have punkterne dokumenteret. Et krav om test under litra a kan opfyldes med en rapport, et resumé eller en erklæring, og formen afgør, hvor meget I skal dele. → Kundens brev om NIS2

Et tænkt eksempel

En udbyder af administrerede tjenester modtager et kontraktudkast fra en logistikvirksomhed. Udkastet har elleve sikkerhedspunkter. Udbyderen kortlægger dem og finder, at seks svarer til litra a, d, e, f, g og h, to er hentet fra kundens egen leverandørpolitik, og tre handler om oppetid og ikke om sikkerhed. Udbyderen er selv omfattet af forordningen og kender derfor punkterne fra sin egen leverandørstyring.

Udbyderen foreslår, at testkravet under litra a og retten til auditrapporter under litra e opfyldes med én årlig penetrationstest af fjernadministrationen og et resumé til kunden. Litra b og c besvares med en beskrivelse af udbyderens procedurer for personale, og litra h med et afsnit om sletning af data ved ophør.

Det skal I lade være med

At læse de otte punkter som et krav til alle aftaler · forordningen siger “hvor det er relevant”.
At svare på alle punkter med testrapporten · litra b, c og h kræver andre svar.
At overse litra g · kravet kan følge med til jeres egne underleverandører.
At gå ud fra, at kunden er bundet af forordningen · andre NIS2-kunder låner den kun.
At acceptere audit uden at aftale formen · retten til en auditrapport er ikke det samme som adgang til jeres systemer.

Hvad kan og ikke kan konkluderes

Punkt 5.1.4 viser, hvilke emner en NIS2-kunde har grund til at tage op i aftalen, og hvor en penetrationstest passer ind. Listen afgør ikke, hvad netop jeres aftale skal indeholde, for det afhænger af kundens risikovurdering og af forhandlingen. Den gør heller ikke kravene ugyldige, hvis kunden går videre end forordningen. Det, der står i den underskrevne aftale, er det, I er forpligtet til.