Kunden vil deltage i afslutningsmødet

Når en NIS2-kunde beder om at deltage i afslutningsmødet efter jeres test, er det næppe kun nysgerrighed. Kunden skal kunne følge op på jer som leverandør og kunne forklare den opfølgning, hvis en myndighed spørger. Svaret hviler derfor på to ting: hvad kunden skal bruge, og hvad I og testleverandøren har aftalt om fortrolighed. Den bedste løsning kan være en særskilt gennemgang for kunden, efter at I selv har haft det interne møde med testeren.

Et møde kan supplere dokumentationen, men det kan ikke erstatte den. Teksten er ikke juridisk rådgivning.

Hvad kunden vil have ud af mødet

En kunde under NIS 2-loven skal have foranstaltninger for forsyningskædesikkerhed efter § 6, stk. 1, nr. 4. Bilaget til gennemførelsesforordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere, men bruges bredt som model, beder i punkt 5.1.6 enheden overvåge og evaluere leverandørernes sikkerhedspraksis med planlagte mellemrum.

Kunden kan derfor have tre ønsker til mødet:

Forstå fundene i den del, kunden bruger · hvad de betyder for kundens egne systemer og data.
Høre planen · hvad I retter, hvornår, og hvad der gøres i mellemtiden.
Danne sig et indtryk af testen · om omfanget og testerens arbejde passer til kundens forventning.

Spørg kunden, hvilket af de tre ønsker der vejer tungest. Svaret afgør, om et møde overhovedet er den rigtige form. Handler det mest om planen, kan et kort statusopkald og en opdateret fundliste være nok. Handler det om at forstå testen, giver det mening at have testeren med. → Kundens løbende opfølgning på leverandører

Ét møde eller to

Det interne afslutningsmøde med testeren er jeres. Her gennemgås alle fund, også dem i dele af virksomheden, kunden ikke er afhængig af, og her kan I være uenige med testeren om en vurdering uden at skulle forklare det udadtil. Det er ikke nødvendigvis en god idé at have kunden med i det møde.

En særskilt gennemgang for kunden kan holdes bagefter. Så har I en afklaret fundliste, en plan og en status at præsentere, og testeren kan deltage og svare på spørgsmål om metode og omfang. Kunden får det, kunden skal bruge, og I undgår at dele mere end nødvendigt.

Insisterer kunden på at sidde med i det første møde, kan det aftales, at mødet deles i to dele, hvor kunden kun deltager i den del, der handler om leverancen til kunden. → Scope og fortrolighed

Det, der kan deles mundtligt

Mundtligt kan det være lettere at forklare sammenhænge, som en skriftlig fundliste ikke viser:

Den samlede vurdering · hvordan testeren ser leverancen som helhed.
Fund, der berører kunden · på et niveau, kunden kan bruge i sin egen risikovurdering.
Afgrænsninger · hvad testen ikke dækkede, og hvorfor.
Planen · rettelser, midlertidige tiltag og hvornår kunden får status.
Svar på kundens spørgsmål · fx om en bestemt adgangsvej eller integration var med.

Det, der ikke hører hjemme på mødet

Nogle oplysninger bør ikke deles, heller ikke mundtligt. Fund i systemer, der betjener andre kunder, angår ikke denne kunde, og oplysninger om andre kunders opsætning er fortrolige. Det samme gælder den tekniske fremgangsmåde bag et fund: kunden har brug for at vide, hvad fundet betyder, ikke hvordan det blev udnyttet.

Testleverandøren kan også være bundet af en fortrolighedsaftale med jer. Afklar før mødet, hvad testeren må sige direkte til kunden, og hvad der skal gå gennem jer. Aftal også, hvem der leder mødet. Det bør være jer, fordi det er jer, kunden har aftalen med, og jer, der skal stå inde for planen bagefter. Testeren er med for at svare på spørgsmål om testen, ikke for at forhandle tidsplaner eller vurdere jeres prioriteringer på jeres vegne. → Samme rapport til flere kunder

Det mundtlige skal følges af noget skriftligt

Et møde efterlader ikke spor, som kunden kan vise frem. NIS 2-lovens § 21, stk. 1, nr. 5 til 7, giver myndigheden mulighed for at kræve oplysninger og dokumentation af en væsentlig enhed. Når kunden skal vise, hvordan den følger op på jer, er det skriftlige materiale, der tæller, ikke et møde, nogen husker.

Send derfor et kort referat efter mødet: hvem deltog, hvad der blev gennemgået, hvilke fund der berører kunden, og hvilke aftaler der blev indgået om status og datoer. Henvis til den dokumentation, kunden i forvejen har fået, så referatet ikke bliver en ny version af resultatet. Forordningens punkt 5.1.7, litra c, taler netop om at dokumentere resultater af gennemgange på en forståelig måde. → Kunden skal kunne vise tilsynet jeres testresultat

Et tænkt eksempel

En leverandør af et journalsystem til private klinikker har en hospitalskæde som kunde. Kæden er omfattet af NIS 2-loven og beder om at deltage i afslutningsmødet efter den årlige test.

Leverandøren holder først sit interne møde med testeren og lægger planen for de to alvorlige fund. En uge senere holdes en gennemgang for kæden, hvor testeren forklarer omfanget og de fund, der berører den del af systemet, kæden bruger. Fund i et modul, kæden ikke har købt, nævnes kun som en linje om, at de findes og håndteres. Efter mødet får kæden et referat med de to fund, de aftalte datoer og en henvisning til resuméet. Kædens sikkerhedsansvarlige gemmer referatet sammen med resuméet i sin leverandøropfølgning. Da kæden næste gang spørger til status, kan leverandøren svare med henvisning til de datoer, der står i referatet, og der opstår ingen tvivl om, hvad der blev lovet.

Det skal I lade være med

At lade kunden deltage i jeres interne gennemgang · der drøftes fund, kunden ikke skal kende.
At vise den tekniske fremgangsmåde bag fundene · kunden har brug for betydningen, ikke opskriften.
At give løfter på mødet, der ikke står i referatet · kunden husker dem, og myndigheden kan ikke se dem.
At lade testeren tale om andre kunder · heller ikke som eksempel.
At aflyse referatet, fordi mødet gik godt · det skriftlige er det, kunden kan bruge.

Hvad kan og ikke kan konkluderes

En gennemgang med kunden kan give kunden et bedre grundlag for sin vurdering af jer og gøre det lettere at blive enige om planen. Den ændrer ikke, hvad testen viste, og den gør ikke dokumentationen overflødig. Om kunden finder jeres opfølgning tilstrækkelig, afgør kunden selv. Softwarehuse, hvis kunder ønsker at deltage uden et NIS2-krav bag, kan læse om den situation på pentestrapport.dk.