Når en fejl hos jer kan ramme kundens egne modtagere

En fejl i jeres leverance stopper ikke altid ved kunden. Hvis I leverer det system, en forsyning bruger til at sende regninger, eller den portal, hvor en kommunes borgere logger ind, kan en hændelse eller en alvorlig svaghed hos jer ramme kundens egne modtagere. Spørgsmålet er så, hvad kunden skal fortælle dem, og hvad kunden har brug for fra jer for at kunne gøre det.

Svaret hviler på NIS 2-lovens § 15. Bestemmelsen pålægger væsentlige og vigtige enheder at underrette modtagerne af deres tjenester i to situationer. Pligten ligger hos kunden, men indholdet af beskeden kan afhænge af oplysninger, kun I har. Teksten er ikke juridisk rådgivning.

Hvad § 15 siger

Stk. 1 siger, at væsentlige og vigtige enheder uden unødigt ophold underretter modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af deres tjenester negativt.

Stk. 2 siger, at enhederne uden unødigt ophold oplyser modtagere, som potentielt er berørt af en væsentlig cybertrussel, om eventuelle foranstaltninger eller modforholdsregler, som modtagerne kan træffe. Hvor det er relevant, skal de også informere om selve truslen. Loven definerer i § 3, nr. 35, en væsentlig cybertrussel som en trussel, der ud fra sine tekniske karakteristika kan antages at kunne få alvorlig indvirkning på enhedens systemer eller på brugerne af enhedens tjenester. Bestemmelsen svarer til NIS2-direktivets artikel 23, stk. 1 og 2. Modtagerne kan være virksomheder, borgere eller andre myndigheder, alt efter hvem kunden leverer til.

Bemærk, at stk. 2 ikke kræver en hændelse. En alvorlig svaghed, der endnu ikke er udnyttet, kan være nok til, at kunden skal overveje at give sine modtagere besked om, hvad de selv kan gøre. → Væsentlig hændelse

Hvor I kommer ind

Kunden kan kun fortælle modtagerne noget brugbart, hvis kunden ved, hvad der er sket, hvem der er berørt, og hvad modtagerne kan gøre. Når fejlen sidder i jeres leverance, er det jer, der kender svarene. Kunden kan derfor have brug for:

Hvem der er berørt · alle brugere, en bestemt gruppe eller kun dem, der har brugt en bestemt funktion.
Hvad der er påvirket · tilgængelighed, oplysninger eller muligheden for at stole på data.
Hvad modtagerne selv kan gøre · fx skifte adgangskode, være opmærksomme på bestemte henvendelser eller bruge en anden kanal.
Hvornår situationen ventes løst · et realistisk bud, der opdateres.

Oplysningerne skal kunne bruges af kunden uden at kræve teknisk viden. Skriv dem, så kunden kan genbruge dem i sin egen besked. → Besked til kunden om hændelser

Hvem taler til modtagerne?

Pligten efter § 15 ligger hos den enhed, der leverer tjenesten til modtagerne, altså kunden. I bør derfor ikke selv kontakte kundens modtagere, medmindre det er aftalt. To beskeder med forskelligt indhold skaber forvirring og kan underminere kundens egen kommunikation.

Aftal i stedet på forhånd, hvordan I leverer oplysningerne, hvem hos kunden der skal have dem, og hvordan I godkender hinandens tekster. Det kan stå i den samme del af aftalen, der handler om hændelser og kritiske fund. Hvis kunden ønsker, at I svarer på henvendelser fra modtagere, fx via en fælles support, så skal det også stå der, sammen med de tekster, I må bruge. → Kritisk fund, der berører kunden

Testen som forberedelse

En penetrationstest kan ikke forudsige en hændelse, men den kan gøre det lettere at svare, hvis en sker. Når testen kortlægger, hvilke dele af leverancen modtagerne bruger, og hvad en svaghed i hver del kan føre til, har I allerede en del af svaret på kundens spørgsmål om, hvem der er berørt.

Bed om, at rapporten for hvert alvorligt fund beskriver, hvilke brugere eller roller der kan blive ramt. Det er ikke det samme som en besked til modtagerne, men det giver kunden et hurtigere grundlag at handle på. For fund, der ligger i grænsen mellem en svaghed og en trussel, kan kunden selv vurdere, om § 15, stk. 2, er relevant. → Hændelse eller testfund

Når fejlen rammer flere kunders modtagere

Sidder fejlen i en del, flere kunder bruger, skal hver kunde kunne give sine egne modtagere besked, uden at oplysninger om de andre kunder følger med. Lav et fælles faktagrundlag om fejlen og en kundespecifik del om, hvem der er berørt hos netop den kunde. Det fælles grundlag beskriver fejlen, hvad modtagere generelt kan gøre, og hvornår der ventes en løsning. Den kundespecifikke del beskriver, hvilke af kundens brugere og funktioner der er ramt. Så kan hver kunde skrive sin egen besked på et ensartet grundlag, og ingen kunde får at vide, hvem de andre er. Send delene samtidig, så ingen kunde står med en ældre version end de andre. → Fund, der også rammer andre kunder

Et tænkt eksempel

En leverandør drifter den webportal, hvor kunderne hos en mellemstor vandforsyning ser deres forbrug og betaler regninger. Et login-problem gør det i en periode muligt for nogle brugere at se andre brugeres forbrugsoplysninger. Leverandøren lukker funktionen og sender forsyningen en beskrivelse af, hvilke brugere der kan være berørt, hvilke oplysninger det drejer sig om, og hvad brugerne kan holde øje med. Forsyningen vurderer selv, om der er tale om en væsentlig hændelse, og sender en besked til sine kunder med udgangspunkt i leverandørens tekst. Leverandøren kontakter ikke forsyningens kunder direkte.

Det skal I lade være med

At kontakte kundens modtagere uden aftale · beskeden er kundens ansvar.
At give kunden teknisk sprog, kunden ikke kan videregive · skriv, så teksten kan bruges.
At vente med oplysningerne, til alt er afklaret · loven bruger udtrykket uden unødigt ophold.
At blande oplysninger om flere kunder · hver kunde skal kun have sit eget.
At afgøre for kunden, om hændelsen er væsentlig · vurderingen ligger hos kunden.

Hvad kan og ikke kan konkluderes

§ 15 viser, at kunden kan have en pligt over for sine egne modtagere, og at den pligt kan kræve oplysninger fra jer. Den pålægger ikke jer som leverandør en pligt over for kundens modtagere. Er I selv en væsentlig eller vigtig enhed, gælder bestemmelsen jeres egne modtagere, og det er så kunden, der skal have besked fra jer. En test kan gøre det lettere at svare på, hvem der er berørt, men den siger ikke, om en konkret hændelse er væsentlig. → Kundens 24 timer