Kundens opbevaring af jeres rapport: vilkår I kan aftale

Når jeres testrapport er afleveret, ligger den hos kunden i årevis, og I har ikke længere hånd i hanke med den. En rapport om jeres leverance beskriver svagheder, som en uvedkommende kan have glæde af, så det er rimeligt at aftale, hvordan kunden opbevarer den. Svaret er en kort aftale om formål, adgang, videregivelse og sletning, som passer ind i de regler, kunden i forvejen har for at håndtere oplysninger.

Det sidste er vigtigt. En NIS2-kunde har sine egne pligter til at klassificere og beskytte oplysninger, og jeres vilkår virker bedst, når de bygger på dem i stedet for at konkurrere med dem. Teksten er ikke juridisk rådgivning.

Kunden har allerede regler for oplysninger

Er kunden en af de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 retter sig mod, fx en cloudtjeneste, et datacenter eller en udbyder af administrerede tjenester, er reglerne skrevet direkte i forordningens bilag. Bilagets punkt 12.1 kræver, at de fastsætter klassifikationsgrader for alle aktiver, herunder oplysninger. Punkt 12.2 kræver en politik for håndtering af aktiver i hele livscyklussen, fra erhvervelse over opbevaring og transport til bortskaffelse, med regler om sikker opbevaring og uigenkaldelig sletning. Jeres rapport bliver en af de oplysninger, politikken dækker, så snart den ligger i kundens systemer.

For andre kunder under NIS 2-loven bruger SAMSIK’s vejledning om foranstaltninger næsten samme ord i afsnittet om forvaltning af aktiver (9.c). Enheden bør fastsætte klassifikationsniveauer, også for informationer, og kommunikere instruktioner for håndtering i hele livscyklussen.

Det giver jer et konkret spørgsmål at stille: Hvilket klassifikationsniveau får jeres rapport hos kunden, og hvad betyder det niveau for adgang og opbevaring? Svaret fortæller mere end en lang fortrolighedsklausul. Hvis kunden ikke har et svar, er det i sig selv en oplysning: så er det endnu vigtigere, at I aftaler adgang og opbevaring konkret, fordi der ikke er en intern regel at læne sig op ad. → Sikker aflevering af testresultater

Vilkår, I kan foreslå

Et sæt vilkår om opbevaring kan være kort. Punkterne, der som regel giver mening, er:

Formål · rapporten bruges til kundens vurdering af jer som leverandør og til kundens egen risikostyring.
Adgang · kun de roller hos kunden, der skal vurdere fundene, har adgang til den fulde udgave.
Opbevaringssted · rapporten ligger i et system med adgangsstyring, ikke i almindelig mail eller en åben fællesmappe.
Videregivelse · hvem kunden må vise rapporten til, og hvornår I skal have besked.
Levetid · hvornår en ældre udgave skal slettes eller arkiveres, fx når en ny test erstatter den.
Hændelser · besked til jer, hvis rapporten er kommet i forkerte hænder.

Formuler vilkårene som noget, kunden kan sige ja til uden at ændre sine egne processer. Et krav om et bestemt system eller en bestemt teknik er sværere at acceptere end et krav om adgangsstyring og en navngiven ejer af dokumentet. → Rapportens modtager hos kunden

Tilsynet og revisoren skal kunne se den

En vigtig grænse: Vilkårene må ikke forhindre kunden i at vise rapporten til sin myndighed. NIS 2-lovens § 21, stk. 1, giver den kompetente myndighed ret til at kræve oplysninger, data og dokumentation udleveret fra en væsentlig enhed, når det er nødvendigt for tilsynet. Kunden kan også have revisorer eller rådgivere, der skal se materialet som led i deres arbejde.

Skriv derfor videregivelse til myndighed og revisor ind som en tilladt situation, eventuelt med besked til jer bagefter, og aftal, at modtageren gøres opmærksom på, at dokumentet er fortroligt. Et forbud mod enhver videregivelse er ikke realistisk for en kunde under tilsyn. Det samme gælder, hvis kunden har brug for at dele et enkelt fund med sin egen driftsleverandør for at få det håndteret i sin ende. Aftal i så fald, at kun den relevante del deles. → Kunden skal kunne vise tilsynet jeres testresultat

Levetid og sletning

En testrapport er et øjebliksbillede. Når en ny test er gennemført, og fundene fra den gamle er rettet, er der ikke nødvendigvis grund til, at mange hos kunden kan læse den gamle udgave. Kunden kan dog have brug for at gemme den som dokumentation for, hvad der skete på et bestemt tidspunkt.

Et rimeligt vilkår skelner mellem de to: den gamle rapport flyttes til et arkiv med snævrere adgang, når en ny afløser den, og den slettes, når kundens egne regler for opbevaring tillader det. Forordningens punkt 5.1.4, litra h, beder kunden aftale, hvad leverandøren gør med kundens oplysninger ved kontraktens ophør. Det samme spørgsmål kan I stille den modsatte vej: hvad sker der med jeres rapporter, når samarbejdet slutter? → Samme rapport til flere kunder

Et tænkt eksempel

En leverandør af et styresystem til pumpestationer hos en vandforsyning skal aflevere en rapport, der beskriver adgangsvejene til systemet i detaljer. Leverandøren spørger forsyningen, hvordan rapporten klassificeres, og får svaret, at den behandles som fortrolig driftsinformation med adgang for driftschefen og den sikkerhedsansvarlige.

Parterne aftaler fire ting: rapporten ligger i forsyningens dokumentsystem med de to roller som eneste læsere, den må vises til myndighed og revisor, leverandøren får besked, hvis den deles med andre, og den flyttes til arkiv, når næste rapport er modtaget. Aftalen fylder en halv side og kræver ingen ændringer i forsyningens egne procedurer. Da driftschefen senere skifter job, bekræfter forsyningen den nye læser, og leverandøren opdaterer sin egen liste.

Det skal I lade være med

At kræve hemmeligholdelse over for myndigheden · kunden kan ikke acceptere det.
At skrive vilkår, I ikke selv kan kontrollere · aftal hellere en pligt til at give besked.
At glemme de gamle udgaver · aftal, hvad der sker med rapporten, når en ny afløser den.
At lade vilkårene stå i en mail · skriv dem ind i aftalen eller et bilag, så de kan findes igen.
At bruge vilkårene som grund til ikke at aflevere · kunden har krav på den dokumentation, I har aftalt.

Hvad kan og ikke kan konkluderes

Aftalte vilkår om opbevaring mindsker risikoen for, at detaljerne om jeres svagheder spredes, og de gør det tydeligt, hvem hos kunden der har ansvaret for dokumentet. De kan ikke garantere, at kunden overholder dem, og de ændrer ikke kundens pligt til at kunne dokumentere sin leverandørstyring over for tilsynet. Generelle råd om opbevaring og sletning af testmateriale findes på penetrationtest.dk.