Kundens risikovurdering som grundlag for jeres test

Et testkrav fra en NIS2-kunde kan virke, som om det er skrevet til alle leverandører på én gang. Reglerne bag kravet peger dog et andet sted hen: kunden skal vurdere, hvilken risiko netop jeres leverance udgør for kundens net- og informationssystemer, og kravene til jer skal stå i forhold til den vurdering. Kender I kundens vurdering, eller i det mindste dens konklusioner, kan I foreslå en test, der rammer det, kunden faktisk er bekymret for.

Det følgende beskriver, hvad teksterne siger om kundens risikovurdering, og hvordan I kan bruge den. Teksten er ikke juridisk rådgivning, og kundens egen vurdering af, hvad der kræves, går forud.

Hvor risikovurderingen står i reglerne

NIS 2-lovens § 6, stk. 1, kræver passende og forholdsmæssige foranstaltninger. Første punkt på listen er politikker for risikoanalyse og informationssystemsikkerhed, og fjerde punkt er forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere. Direktivets artikel 21, stk. 1, siger tilsvarende, at der ved vurderingen af proportionalitet skal tages hensyn til enhedens eksponering for risici, dens størrelse og sandsynligheden for hændelser og deres alvor.

Styrelsen for Samfundssikkerhed (SAMSIK) er mere direkte i sin vejledning om anvendelsesområdet, afsnit 8. Enheder omfattet af loven skal vurdere de risici, som den modtagne leverance udgør, og den vurdering kan føre til forholdsmæssige krav til leverandøren. Vejledningen om foranstaltninger, afsnit 4, anbefaler en risikobaseret tilgang, hvor kravene til den enkelte leverandør står i forhold til leverancens betydning. → Forholdsmæssige krav

Forordningens kobling mellem risiko, aftale og test

Gennemførelsesforordning (EU) 2024/2690 gælder for en afgrænset gruppe digitale udbydere: blandt andet cloud, datacentre, DNS, administrerede tjenester og administrerede sikkerhedstjenester. Andre kunder kan bruge den som skabelon, fordi den er mere detaljeret end loven. Den binder tre ting sammen:

Risikorammen · bilagets punkt 2.1.2, litra d, beder enheden afdække og dokumentere risici, navnlig i forbindelse med tredjeparter.
Aftalen · punkt 5.1.4 siger, at kontrakterne med leverandører skal indeholde cybersikkerhedskrav, hvor det er relevant, under hensyntagen til risikovurderingen efter punkt 2.1.
Testen · punkt 6.5.2, litra a, lader risikovurderingen afgøre behovet for, omfanget af, hyppigheden af og typen af sikkerhedstest.

Hos en kunde, der følger den logik, er testkravet til jer altså et resultat af en vurdering. Hvis kravet ser ud til at være kopieret uden en sådan vurdering, er det rimeligt at spørge til den.

Hvad I kan spørge kunden om

Kunden skal ikke udlevere hele sin risikovurdering. Den kan indeholde oplysninger om andre leverandører, svagheder og forhold, der er fortrolige. Men I kan bede om de dele, der angår jer:

Klassifikationen · hvor kritisk kunden vurderer jeres leverance, og hvad der ligger til grund.
Scenarierne · hvilke hændelser hos jer kunden frygter mest: brud på fortrolighed, nedetid, manipulerede data eller misbrug af jeres adgang.
Afhængigheden · hvilke af kundens processer der står stille eller svækkes, hvis jeres del svigter.
Grænsefladerne · hvilke forbindelser mellem jer og kunden der indgår i vurderingen.
Ændringer · hvornår kunden genvurderer, så I ved, hvornår kravet kan ændre sig.

Svarene giver jer et grundlag for at foreslå omfang og testtype i stedet for at gætte. → Kritisk leverandør

Sådan former vurderingen testen

En vurdering, der fremhæver fortrolighed, peger mod de steder, hvor kundens data ligger eller passerer: portalen, integrationerne og jeres egen adgang til data. En vurdering, der fremhæver tilgængelighed, peger mere mod drift, beredskab og gendannelse, som en penetrationstest kun delvist belyser. En vurdering, der fremhæver jeres adgang til kundens net, peger mod supportadgangen og de værktøjer, I administrerer kunden med.

Vurderingen kan også pege på noget, der slet ikke er en test. Frygter kunden mest, at jeres medarbejdere håndterer data forkert, er svaret snarere uddannelse, baggrundskontrol eller adgangsstyring, og det er bedre at sige det end at bestille en test, der ikke rammer bekymringen.

Det samme gælder hyppigheden. Har kunden vurderet, at jeres løsning ændrer sig ofte, giver test ved væsentlige ændringer mere mening end et fast tidspunkt hvert år. → Testfrekvens efter risiko

Et tænkt eksempel

En leverandør af et system til vagtplaner får et krav fra en drikkevandsforsyning om en årlig penetrationstest af hele virksomheden. Leverandøren spørger, hvad kravet bygger på. Forsyningen svarer, at vagtplanerne er klassificeret som vigtige for beredskabet, og at den største bekymring er, at uvedkommende kan se eller ændre, hvem der har vagt.

Leverandøren foreslår derfor en test af vagtplanløsningen, login og rettigheder for forsyningens brugere samt leverandørens egen supportadgang til data. Leverandørens interne regnskabssystem holdes uden for, fordi det ikke har forbindelse til løsningen. Forsyningen accepterer, og begge parter har nu en skriftlig begrundelse, der kan genbruges ved næste genvurdering. → Hvilke systemer forventer kunden testet?

Kunder med andre regler

Ikke alle kunder bygger på NIS 2-loven. Efter § 1, stk. 2, gælder loven ikke for enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren (for telesektoren med en undtagelse, som § 1, stk. 2, selv nævner). Loven gælder heller ikke enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed, og finansielle enheder har deres egne krav til IKT-risici og tredjepartsleverandører i DORA. Også disse kunder kan vurdere leverandørrisici, men ordlyden, begreberne og myndigheden er andre. Spørg derfor, hvilken regel kravet bygger på, før I bruger argumenterne ovenfor. → Energi, tele og finans

Det skal I lade være med

At antage, at kravet er standard · spørg, hvad det bygger på, før I accepterer omfanget.
At kræve hele risikovurderingen udleveret · de konklusioner, der angår jer, er nok.
At foreslå et omfang uden begrundelse · knyt hver del af testen til kundens bekymring.
At glemme jeres egen vurdering · I kender leverancen bedst og kan pege på risici, kunden ikke har set.
At lade svaret stå mundtligt · skriv ned, hvad I og kunden er enige om.

Hvad kan og ikke kan konkluderes

Reglerne viser, at kundens krav til leverandører skal hvile på en risikovurdering og være forholdsmæssige. De viser ikke, hvad kundens vurdering bør nå frem til om jer, og de giver jer ikke ret til at se den. En test, der er afgrænset efter kundens vurdering, dokumenterer, hvordan de udvalgte dele holdt på testtidspunktet. Om det samlet er nok, er kundens vurdering, og kundens myndighed vurderer kundens tilgang. → Når kravet er uklart