Krav, I skal sende videre til jeres egne underleverandører

Når en NIS2-kunde beder om dokumentation for test af jeres leverance, er det ikke altid kun jeres egne systemer, der er i spil. Løsningen kører måske hos en hostingpartner, bygger på en cloudplatform eller indeholder et modul fra en anden softwareleverandør. Kunden spørger jer, men en del af svaret ligger hos andre.

Svaret er at kortlægge, hvem der leverer hvad til den leverance, kunden er afhængig af, og at sende de testkrav videre, som kun underleverandøren kan opfylde. Det sker gennem jeres egne aftaler. Kunden forventer, at I kan redegøre for hele leverancen, også de dele, I ikke selv driver.

Hvorfor kravet bevæger sig nedad

Gennemførelsesforordning 2024/2690 nævner i bilagets punkt 5.1.4, litra g, krav om brug af underleverandører og, hvor kunden tillader det, cybersikkerhedskrav til underleverandørerne svarende til kravene til leverandøren selv. SAMSIK’s vejledning om foranstaltninger har i afsnit 4 en lignende formulering om underleverandører, hvis de er tilladt, og foranstaltninger for dem.

Bemærkningerne til lovens § 6, nr. 4, som SAMSIK gengiver, siger, at omfattede enheder kunne overveje risici fra leverandører og tjenesteudbydere i andre led. Kunden har altså en interesse i jeres underleverandører, selv om kundens direkte forhold er til jer. → Krav i andet eller tredje led

Den samlede styring af jeres leverandører er en større opgave, som også handler om udvælgelse, kontrakter og opfølgning. Her handler det om den del, der vedrører test og testdokumentation.

Kortlæg leverancen først

Tag udgangspunkt i det, kunden er afhængig af, og spørg for hver del, hvem der driver den. Et tænkt eksempel: En leverandør af et system til ruteplanlægning for et affaldsselskab har selv udviklet applikationen. Den kører på servere hos en hostingpartner, data gemmes i en cloudtjeneste, og kortmodulet kommer fra en anden softwareleverandør. Affaldsselskabet ser én leverance. Bag den står fire parter.

Lav en enkel oversigt over leverancens dele og deres ejere. Den skal ikke være et register over alle jeres leverandører, kun dem, der indgår i det, kunden bruger. → Hvem tester hvad i kæden?

Hosting og datacenter · den fysiske og tekniske platform, løsningen kører på.
Cloudtjenester · lagring, databaser, login eller andre tjenester fra en cloudplatform.
Komponenter · moduler eller tjenester fra andre softwareleverandører.
Udviklings- og supportpartnere · firmaer, der har adgang til koden eller til driften.

Hvilke testkrav der skal videre

Ikke alle krav skal sendes videre i samme form. Det afgørende er, om underleverandøren driver noget, kundens spørgsmål handler om, og som I ikke selv kan teste eller dokumentere.

Dokumentation for egen test · at underleverandøren tester sin del og kan dokumentere det på et niveau, I kan videregive.
Tilladelse til jeres test · at I må lade teste de dele af platformen, der er jeres, og på hvilke vilkår.
Besked om fund · at underleverandøren giver jer besked om sårbarheder, der kan ramme jeres leverance.
Udlevering · at I må videregive et resumé af underleverandørens dokumentation til jeres kunde.

Underleverandørens frister skal passe med jeres. Skal I aflevere dokumentation til kunden en bestemt måned, skal underleverandørens bidrag foreligge før. → Fund i tredjepartskomponenter

Skriv kravet, så svaret kan bruges

Et krav til en underleverandør om “passende sikkerhedstest” giver et svar, I ikke kan bruge over for kunden. Skriv i stedet, hvilken del af underleverandørens ydelse testen skal dække, hvor ofte I forventer dokumentation, og hvilke oplysninger den skal indeholde. Type, omfang, tidspunkt og resultat er et godt udgangspunkt, fordi det er de samme oplysninger, jeres kunde kan spørge til.

Aftal også, hvad der sker, hvis underleverandøren ikke kan levere. Måske kan I selv lade den del teste, måske må I forklare kunden, at dokumentationen mangler, og hvad I gør ved det. Det er bedre at have svaret klar end at opdage problemet, når kundens frist er nået.

Store platforme siger ikke ja til alt

En lille hostingpartner kan være villig til at acceptere jeres krav. En stor cloudplatform har standardvilkår, som I ikke kan forhandle. Den kan lade kunder teste egne ressourcer efter faste regler, men ikke selve platformen, og den stiller sin egen dokumentation til rådighed.

Her er opgaven at forklare kunden fordelingen: hvad platformen dokumenterer, hvad I tester, og hvor grænsen går. Henvis til platformens egne vilkår for test og til den dokumentation, platformen offentliggør, frem for at gengive den med egne ord. Kunden har brug for at se, at grænsen er kendt og beskrevet, ikke at I har fået en platform til at underskrive et særligt krav. → Cloududbyderens dokumentation · → Datacenteret i kæden

Når I selv er et mellemled

Leverer I drift eller hosting videre til andre leverandører, kan I sidde i midten af kæden. Kravet kommer ned til jer fra én side og skal videre til platforme og licensgivere på den anden. Det kræver, at I holder styr på, hvilket krav der kom fra hvem, så I ikke lover mere opad, end I kan få nedefra. → MSP’en som mellemled

En enkel måde er at notere, for hvert krav I modtager, hvilken del af leverancen det rammer, og hvem der kan opfylde det. Så kan I se, hvilke krav I selv kan besvare, og hvilke der afhænger af andre. Oversigten gør det også lettere, når den næste kunde stiller et lignende krav.

Det skal I lade være med

At svare kunden på underleverandørens vegne uden grundlag · få dokumentationen, før I henviser til den.
At sende hele kundens brev videre · send kun de krav, der vedrører underleverandørens del.
At love kunden test af en platform, I ikke ejer · beskriv i stedet grænsen.
At glemme fristerne · underleverandørens dokumentation skal komme før jeres.
At overse udviklings- og supportpartnere · deres adgang kan være lige så vigtig som hostingen.

Hvad kan og ikke kan konkluderes

Når kravene er sendt videre, og dokumentationen er samlet, kan I give kunden et billede af, hvordan hele leverancen er afprøvet, og hvem der står for hvilken del. Det gør det lettere for kunden at vurdere risikoen ved leverancen som helhed.

Underleverandørens dokumentation er deres. I kan videregive den, men ikke stå inde for den, som om I selv havde testet. Om jeres aftaler med underleverandørerne giver jer de rettigheder, I har brug for, afhænger af ordlyden. Teksten er ikke juridisk rådgivning.