Kunden har klassificeret jer som kritisk leverandør: hvad betyder det for testen?

En besked om, at kunden nu betragter jer som kritisk leverandør, lyder som en ny forpligtelse, men ordet er ikke defineret i NIS 2-loven. Svaret hviler på kundens egen klassificering af leverandører: den afgør, hvor meget opmærksomhed kunden giver jer, hvilke kontraktpunkter der bruges, og hvor ofte kunden vil se dokumentation. For testen kan det betyde et mere præcist omfang, tættere opfølgning på fund og en forventning om, at dokumentationen fornyes, når leverancen ændrer sig.

Hvad kunden præcis lægger i ordet, kan kun kunden svare på. Det første skridt er derfor at spørge.

Hvor klassificeringen kommer fra

Gennemførelsesforordning 2024/2690 kræver i bilagets pkt. 5.2, at de enheder, den gælder for, fører et register over direkte leverandører og tjenesteudbydere. ENISA’s tekniske vejledning til det punkt foreslår, at enheden også klassificerer leverandørerne efter kriterier som følsomheden af det indkøbte, krav til tilgængelighed, gældende regler og risiko. Vejledningen nævner som eksempel kategorierne kritisk, strategisk og rutine, hvor kritiske leverandører er dem med væsentlig betydning for enhedens drift.

Vejledningen er ikke bindende, og forordningen gælder kun bestemte digitale udbydere. Men andre NIS2-kunder kan bruge samme tankegang, og Styrelsen for Samfundssikkerheds vejledning om foranstaltninger stiller i sit eksempel om forsyningskæden spørgsmålet, hvilke leverandører der er kritiske for virksomhedens evne til at levere sine ydelser. → Kundens leverandørregister

Spørg, hvorfor I er placeret der

En klassificering bygger på kundens vurdering af jeres leverance. Kend den, før I svarer på et nyt krav. Spørg kunden:

Hvilket kriterium vejede tungest? · adgang til systemer, følsomme data, tilgængelighed eller manglende alternativer.
Hvilken del af leverancen handler det om? · hele samarbejdet eller én bestemt tjeneste.
Hvad følger med klassificeringen? · nye kontraktpunkter, faste møder, krav om dokumentation med bestemte mellemrum.
Hvornår vurderes den igen? · ved fornyelse, ved ændringer eller med faste mellemrum.

Svarene viser, hvor testen skal sætte ind. Hvis I er kritiske, fordi jeres fjernadgang kan nå kundens produktion, er det adgangsvejen, der skal afprøves, ikke jeres hjemmeside. → Jeres supportadgang til kunden

Hvad det kan betyde for testen

Der er ingen fast pakke, der følger med betegnelsen. Men kunder, der bruger en klassificering, kan have disse forventninger til en kritisk leverandør:

Omfanget følger det kritiske · testen skal dække den del af leverancen, der gav klassificeringen.
Dokumentation med jævne mellemrum · kunden vil følge op med planlagte mellemrum og ikke kun ved kontraktstart.
Opfølgning på alvorlige fund · kunden vil vide, hvad der er rettet, og hvornår resten bliver det.
Besked ved ændringer · væsentlige ændringer i leverancen kan udløse et ønske om ny test.
Hurtig besked ved hændelser · klassificeringen kan hænge sammen med en tættere aftale om underretning.

Bilagets pkt. 5.1.6 i forordningen nævner, at enhederne med planlagte mellemrum skal overvåge og vurdere ændringer i leverandørernes cybersikkerhedspraksis. Det er den del, I mærker som tilbagevendende spørgsmål. → Kundens løbende opfølgning

Når klassificeringen ikke passer

Nogle gange bliver en leverandør klassificeret som kritisk på et for bredt grundlag. Kunden har måske kun registreret, at I har adgang, og ikke hvilken. Eller klassificeringen stammer fra en tidligere leverance, der ikke længere findes.

Hvis I mener, at vurderingen bygger på forkerte oplysninger, så send kunden en præcis beskrivelse af leverancen: hvilke systemer I har adgang til, med hvilke rettigheder, og hvilke data I behandler. Det er kundens klassificering, og I kan ikke ændre den, men I kan sørge for, at den bygger på rigtige oplysninger. → Forholdsmæssige krav

Omvendt kan en klassificering som kritisk være helt rimelig. Hvis kunden står stille, når jeres tjeneste ikke virker, er det bedre at tage konsekvensen og planlægge testen derefter end at forhandle om ordet.

Planlæg testen ud fra klassificeringen

Når I kender grunden, kan testen planlægges, så den rammer. Beskriv i bestillingen, hvilken del af leverancen kunden har klassificeret som kritisk, og hvilket spørgsmål testen skal besvare om den. Så kan resultatet læses direkte op mod kundens vurdering.

Overvej også rytmen. Hvis kunden følger op med faste mellemrum, er det en fordel, at testen ligger i god tid før opfølgningen, så alvorlige fund kan nå at blive håndteret. En kritisk leverandør, der møder op med en ny rapport fuld af åbne fund, giver kunden mere arbejde, ikke mindre. → Fra effektivitetskrav til testplan

Hold dokumentationen samlet, så den kan sendes hurtigt. En kritisk leverandør kan blive spurgt oftere, også med kort varsel, når kundens tilsyn eller kundens ledelse beder om et overblik over leverandørerne.

Underleverandørerne bag den kritiske del

En klassificering som kritisk kan række ud over jeres egne systemer. Hvis den kritiske tjeneste kører hos en hostingpartner eller bygger på en cloudplatform, kan kunden også spørge til dem. Det er ikke jeres opgave at teste en partners systemer, men det er jeres opgave at kunne forklare, hvem der har ansvaret for hvilken del, og hvilken dokumentation der findes for hver af dem.

Lav derfor et enkelt overblik over leverancens lag: jeres egen løsning, den platform, den kører på, og de partnere, der har adgang. Skriv for hvert lag, hvad der er testet, af hvem, og hvad kunden kan få at se. Overblikket gør det lettere at svare, når kunden følger op, og det viser, hvor testen af jeres egen del skal afgrænses. → Krav til egne underleverandører

Det skal I lade være med

At gætte på, hvad kunden mener med kritisk · spørg til kriteriet og den berørte del af leverancen.
At teste alt for at være på den sikre side · testen skal følge det, der gav klassificeringen.
At ignorere en forkert klassificering · send en præcis beskrivelse af adgang og data.
At lægge testen lige før kundens opfølgning · der skal være tid til rettelser.
At glemme hændelsesaftalen · en kritisk leverandør kan blive mødt med krav om hurtig besked.

Hvad kan og ikke kan konkluderes

En klassificering som kritisk viser, at kunden vurderer jeres leverance som vigtig for sin drift eller sikkerhed. Den siger ikke i sig selv, hvilke krav der følger med; det afhænger af kundens politik og jeres aftale. En test kan dokumentere, at den kritiske del er afprøvet, men den kan ikke ændre kundens vurdering eller garantere, hvordan kunden klassificerer jer næste gang. Teksten er ikke juridisk rådgivning.