Krav om årlig penetrationstest i leverandøraftalen: hvad forpligter I jer til?

Et krav om en årlig penetrationstest kan fylde så lidt som én linje i en leverandøraftale. Alligevel kan den ene linje binde jer til en test hvert år i hele aftalens løbetid, med et omfang og en aflevering, som ingen har tænkt igennem. Hvad I forpligter jer til, står i ordlyden og i det, der ikke står der.

Svaret hviler på to ting. Den ene er aftaleteksten: hvad der skal testes, hvornår et år er gået, hvem der vælger testeren, og hvad kunden skal have. Den anden er, at NIS2-reglerne ikke fastsætter et bestemt interval. Ordet “årlig” er kundens valg og kan forhandles. Teksten er ikke juridisk rådgivning.

Ordet årlig står ikke i loven

NIS 2-loven kræver i § 6, stk. 1, nr. 6, at omfattede enheder har politikker og procedurer til at vurdere effektiviteten af deres foranstaltninger. SAMSIK’s vejledning om foranstaltninger beskriver i afsnit 6.b, at enheden ud fra en risikovurdering fastlægger behov og hyppighed for forskellige typer test, og at test bør ske med passende planlagte mellemrum og ved større ændringer eller væsentlige hændelser.

For de digitale udbydere, som gennemførelsesforordning 2024/2690 gælder for, siger bilagets punkt 6.5.2 tilsvarende, at behov, omfang, hyppighed og type fastlægges ud fra risikovurderingen. Et fast interval står ikke i nogen af teksterne. Når kunden skriver “årlig”, er det kundens måde at gøre risikovurderingen praktisk på. → Testfrekvens efter risiko

Hvornår er et år gået?

Det lyder banalt, men det kan give uenighed. Aftalen kan betyde kalenderår, tolv måneder fra sidste test, tolv måneder fra aftalens start eller et tidspunkt før en årlig fornyelse. Hver fortolkning giver et forskelligt tidspunkt for, hvornår kunden kan forvente dokumentationen.

Find ud af, hvad kunden mener, og få det skrevet ned. Overvej samtidig, hvornår det passer jer at teste. En test lige efter en stor opdatering giver et mere retvisende billede end en test, der falder midt i et skifte af platform. Kunden har ikke nødvendigvis noget imod et fast tidspunkt, hvis det er forudsigeligt. → Dokumentationen på et fast tidspunkt hvert år

Hvad skal testes?

En aftale, der blot siger “en årlig penetrationstest”, siger ikke, af hvad. Det kan forstås som hele virksomheden, den løsning kunden bruger, eller kun den del, kunden har adgang til. De tre er meget forskellige opgaver.

Foreslå en afgrænsning, der følger det, kunden er afhængig af: portalen, integrationen, supportadgangen eller den fælles platform. Skriv i aftalen, at omfanget følger leverancen, så det vokser med, når leverancen ændrer sig. Det giver kunden en test, der rammer kundens risiko, og jer en opgave, der er til at planlægge.

Et tænkt eksempel: En leverandør af et bookingsystem til en region har en aftale med årlig test. Det første år testes bookingløsningen og den integration, der henter data fra regionens system. Året efter er der kommet en ny app til patienter. Står der i aftalen, at testen følger leverancen, er det klart, at den nye del skal med.

Hvem vælger testeren?

Aftalen kan sige, at I vælger testeren, at kunden skal godkende valget, eller at kunden selv lader teste. Den kan også stille krav til uafhængighed eller kvalifikationer. Hvert valg har betydning for, hvordan I planlægger, og hvem der ejer rapporten. → Kundens krav til testeren

Læg mærke til, om kravet også omfatter betaling. Står det ikke, så afklar det. Hvad en test omfatter, og hvad der påvirker omfanget, kan I drøfte med testleverandøren ud fra et konkret forslag til afgrænsning.

Hvad skal afleveres, og hvad sker der med fund?

Aftalen bør sige, om kunden får hele rapporten, et resumé eller en erklæring. Ifølge SAMSIK’s vejledning bør en omfattet enhed have testens type, omfang, tidspunkt og resultat beskrevet på en måde, som en sagkyndig udefra kan følge. Kunden kan derfor bede om netop de oplysninger, og de er et godt udgangspunkt for det, I aftaler at aflevere. → Fire oplysninger om testen

Se også efter, om aftalen stiller krav til håndtering af fund. En fast frist for alle fund kan være svær at overholde, mens en aftalt prioritering efter alvor er lettere at leve op til og at dokumentere. Hvis kunden vil følge med i rettelserne, så aftal, hvordan status sendes. → Status på rettelser

Endelig bør aftalen tage stilling til det, der sker mellem to test. En årlig test fanger ikke nødvendigvis større ændringer, der sker i løbet af året. Nogle aftaler kræver derfor også test ved væsentlige ændringer. Det er i tråd med SAMSIK’s vejledning, men det giver kun mening, hvis det er aftalt, hvad der tæller som væsentligt. → Væsentlige ændringer

Når aftalen allerede er underskrevet

Nogle leverandører opdager først kravet, når kunden spørger efter dokumentationen. Så er ordlyden givet, og opgaven er at fortolke den rimeligt. Læs klausulen igen, og skriv ned, hvordan I forstår de uklare ord. Send fortolkningen til kunden, og bed om en bekræftelse, før testen bestilles.

Kunden har selv en interesse i at få en brugbar test frem for at holde fast i en upræcis formulering. Et forslag om at afgrænse testen til leverancen og at aflevere et resumé med de centrale oplysninger kan blive godt modtaget. Gem svaret sammen med aftalen, så næste års test bygger på det samme grundlag og ikke på en samtale, som ingen længere husker.

Det skal I lade være med

At skrive under på “årlig” uden at vide, hvornår året starter · få tidspunktet aftalt.
At lade omfanget stå åbent · skriv, hvilken del af leverancen testen dækker.
At acceptere en fast frist for alle fund · foreslå en prioritering efter alvor.
At love fejlfrihed · ingen test kan dokumentere, at en løsning er uden svagheder.
At glemme ændringerne · en årlig test erstatter ikke vurderingen ved større ændringer.

Hvad kan og ikke kan konkluderes

En årlig penetrationstest kan dokumentere, at den aftalte del af leverancen er afprøvet en gang om året, og hvordan fundene er håndteret. Den kan bruges af kunden som en del af kundens vurdering af leverandøren.

Den kan ikke vise, at leverancen er sikker resten af året, og den afgør ikke, om aftalen er opfyldt. Det afhænger af ordlyden og af, hvad I og kunden har aftalt om omfang og aflevering.