Et resumé eller en rapport fra leverandørens penetrationstest er landet i indbakken, og nogen hos jer skal afgøre, om den kan bruges. Vurderingen hviler på to ting: det testkrav, I selv har stillet i aftalen, og den beskrivelse af en dokumenteret sikkerhedstest, som bilaget til gennemførelsesforordning (EU) 2024/2690 giver i punkt 6.5.2. Kort sagt skal I kontrollere fem forhold: om omfanget passer til leverancen, om testtypen passer til risikoen, hvad der er sket med de alvorlige fund, hvem der testede, og hvad I skal gemme, så et tilsyn kan følge jeres vurdering.
Leverandørstyringen som helhed, med register, risikovurdering og ledelsens godkendelse, er et større emne. Her handler det kun om testdokumentationen. Teksten er ikke juridisk rådgivning.
Målestokken: jeres eget krav
En vurdering uden målestok bliver en mavefornemmelse. Start derfor med det, I har bedt om. NIS 2-lovens § 6, stk. 1, nr. 4, pålægger jer foranstaltninger for forsyningskædesikkerhed, og Styrelsen for Samfundssikkerhed (SAMSIK) skriver i sin vejledning om foranstaltninger, afsnit 4, at observationer fra jeres gennemgange og evalueringer af leverandørerne bør dokumenteres. Den dokumenterede observation er netop det, I skal frembringe nu.
Står der et testkrav i aftalen, er det jeres første målestok. Står der intet, må I falde tilbage på jeres leverandørpolitik og på den risiko, leverancen udgør. SAMSIK’s vejledning om anvendelsesområdet, afsnit 8, minder om, at kravene til en leverandør skal være forholdsmæssige og bygge på en vurdering af leverancens risiko. Et kravbilag, I ikke selv kan forklare, er svært at måle noget imod. → Testkravet til leverandøren
Passer omfanget til leverancen?
Omfanget er det punkt, hvor en mangel lettest går ubemærket hen: rapporten kan se grundig ud og alligevel handle om noget andet end det, I bruger. Læg jeres egen beskrivelse af leverancen ved siden af. Forordningens punkt 5.2 beder de digitale udbydere, den gælder for, om at føre et register med en liste over de produkter, tjenester og processer, hver direkte leverandør leverer. Bruger I et tilsvarende register, er listen jeres tjekliste.
Spørg konkret: Var den fjernadgang, leverandørens support bruger hos jer, med? Var integrationen til jeres systemer med? Var den del, der behandler jeres data, med? Står der en udeladelse, så vurder, om den rammer noget, I er afhængige af. En udeladelse er ikke en fejl i sig selv, men den skal være synlig og begrundet. → Hvilke systemer kunden forventer testet
Testtypen og tidspunktet
En sårbarhedsscanning, en konfigurationsgennemgang og en penetrationstest giver forskellige svar. SAMSIK’s vejledning om foranstaltninger, afsnit 6.b, nævner disse og flere andre som eksempler på tekniske test. En scanning finder kendte svagheder automatisk, mens en penetrationstest afprøver, om svagheder kan bruges til at komme videre. Hvilken type der er rigtig, afhænger af den risiko, I vil have belyst, ikke af hvilken type der lyder mest grundig.
Se også på datoen. Forordningens punkt 5.1.6 knytter opfølgningen på leverandører til planlagte mellemrum og til væsentlige ændringer i drift eller risici. Er leverancen ændret væsentligt siden testen, er det rimeligt at spørge, om resultatet stadig dækker den del, I bruger.
Fundene og det, der er sket med dem
Punkt 6.5.2, litra c, beskriver, at en dokumenteret test angiver type, omfang, tid og resultater med en vurdering af kritisk betydning og af afbødende foranstaltninger for hver konstatering. Litra d tilføjer, at der anvendes afbødende foranstaltninger ved alvorlige konstateringer. Det er den form, I kan forvente at kunne genkende.
For jer er status vigtigere end selve fundlisten. Kontrollér, at alvorlige fund er rettet, eller at der er en plan med dato, og at status har en dato. Er et fund accepteret frem for rettet, så notér, hvem hos leverandøren der har accepteret det, og tag stilling til, om I selv kan leve med den risiko. Det er jeres beslutning, ikke leverandørens. → Status på rettelser
Hvem testede
Dokumentationen bør sige, hvem der udførte testen, og hvordan testeren står i forhold til den del, der blev testet. SAMSIK nævner i afsnit 6.b, at test kan udføres af enheden selv eller af en tredjepart, så en intern test er ikke uden videre ubrugelig. Det afgørende er, at I kan se, om testeren har været uafhængig af dem, der byggede og driver leverancen, og at dokumentationen beskriver det frem for blot at påstå det. Har jeres aftale et krav om en uafhængig tester, er det det, I måler imod. → Oplysninger om testleverandøren
Det, der skal gemmes til tilsynet
En kompetent myndighed kan efter NIS 2-lovens § 21, stk. 1, nr. 5 til 7, kræve oplysninger og dokumentation udleveret fra en væsentlig enhed, og § 24 giver tilsvarende redskaber over for vigtige enheder, når der er indikationer på, at loven ikke overholdes. Gem derfor ikke kun leverandørens dokument. Gem også jeres egen vurdering: dato, hvem der vurderede, hvad der blev sammenholdt med kravet, hvilke spørgsmål der blev stillet, og hvad konklusionen blev. Forordningens punkt 5.1.7, litra c, taler om at dokumentere resultaterne af gennemgange på en forståelig måde.
Overvej, hvor meget I selv vil opbevare. En fuld rapport om leverandørens svagheder er følsom, og et resumé med statusliste kan være nok til jeres formål, hvis det er aftalt. → Kunden skal kunne vise tilsynet jeres testresultat
Det skal I lade være med
- At godkende ud fra rapportens længde · omfanget afgør, om den handler om jeres leverance.
- At kræve en ny test, før I har spurgt · et supplement om omfang eller status kan løse problemet.
- At overlade risikoaccepten til leverandøren · et åbent fund i jeres leverance er også jeres risiko.
- At gemme rapporten uden jeres vurdering · tilsynet skal kunne se, hvad I gjorde med den.
- At læse testen som bevis for overholdelse · den viser en afgrænset afprøvning på et tidspunkt. → Hvad testdokumentationen ikke kan bevise
Hvad kan og ikke kan konkluderes
En vurdering efter de fem forhold kan vise, at leverandøren har fået en relevant del af leverancen afprøvet og fulgt op på fundene. Den kan ikke vise, at leverancen er uden svagheder, eller at jeres samlede leverandørstyring er tilstrækkelig. Hvordan man læser en pentestrapport om egne systemer, er beskrevet på penetrationtest.dk; her er spørgsmålet, om en rapport om en andens systemer kan bære jeres vurdering.
Tjekliste: nok, eller spørg mere
Kan I svare ja til alle punkter, kan dokumentationen som udgangspunkt bruges til formålet. Er svaret nej eller uklart, så skriv til leverandøren og spørg præcist om det punkt.
- ☐ Kan omfanget kobles til den leverance, I har registreret?
- ☐ Er udeladelser synlige og begrundede?
- ☐ Passer testtypen til den risiko, I vil have belyst?
- ☐ Ligger testen efter seneste væsentlige ændring?
- ☐ Har alvorlige fund status med dato, og er accepterede fund begrundet?
- ☐ Fremgår det, hvem der testede, og hvor uafhængig testeren var?
- ☐ Er jeres egen vurdering gemt sammen med dokumentet?
Afviser I dokumentationen, så skriv begrundelsen, så leverandøren kan svare på netop det. → Når kunden afviser dokumentationen
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4, § 21, stk. 1, nr. 5 til 7, og § 24.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.6, 5.1.7, litra c, 5.2 og 6.5.2, litra c og d.
- SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om dokumentation af leverandørgennemgange og afsnit 6.b om tekniske test.
- SAMSIK, vejledning om anvendelsesområdet (maj 2025): afsnit 8 om forholdsmæssige krav til leverandører.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Resumé, erklæring eller hel rapport · Forholdsmæssige krav
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
