Kundens skabelon: når I skal aflevere testresultatet i kundens eget format

Flere NIS2-kunder har lavet deres egen skabelon til leverandørernes sikkerhedsdokumentation, fordi de skal samle oplysninger fra mange leverandører på samme måde. For jer betyder det, at testresultatet skal oversættes til kundens felter, og felterne passer ikke altid præcist til det, testen viste. Svaret hviler på én regel: udfyld hvert felt med det, testen faktisk dækker, og skriv forbeholdet i samme felt, ikke i et bilag, kunden måske ikke læser.

En skabelon er kundens værktøj til sammenligning, ikke en erklæring om, at alt er i orden. Teksten er ikke juridisk rådgivning.

Hvorfor kunden bruger en skabelon

En kunde med mange leverandører kan ikke læse hundrede forskellige rapporter. Bilaget til forordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere og bruges som model af andre, beder i punkt 5.1.6 enheden overvåge og evaluere leverandørernes sikkerhedspraksis med planlagte mellemrum. Punkt 5.1.7, litra c, nævner, at resultater skal dokumenteres på en forståelig måde. En skabelon gør det muligt for kunden at gøre det ensartet.

Skabelonerne kan derfor følge de samme spor: testens type, omfang, tidspunkt og resultat, som punkt 6.5.2, litra c, nævner, og nogle af de aftalepunkter, punkt 5.1.4 opregner. Kender I de punkter, er det lettere at se, hvad kunden egentlig spørger om. → Sådan læser I kundens NIS2-krav

Felter, der passer godt

Nogle felter kan I udfylde direkte fra testdokumentationen:

Testtype · fx penetrationstest af webapplikation og supportadgang.
Testperiode · første og sidste testdag.
Testleverandør · navn og relation til jer.
Antal fund pr. alvorlighed · med henvisning til den skala, testeren brugte.
Status · rettet, planlagt eller accepteret for hvert alvorligt fund.

Brug de samme betegnelser som i jeres egen dokumentation, så kunden kan sammenholde skabelonen med resuméet, hvis det også sendes. → Type, omfang, tid og resultat

Felter, der ikke passer

De vanskelige felter er dem, der beder om en bekræftelse, testen ikke kan give. Eksempler er et ja eller nej til, om “alle systemer” er testet, om leverancen er “fri for kendte sårbarheder”, eller om I “overholder NIS2”. Et ja er ikke nødvendigvis sandt i den form, og et nej giver et forkert billede.

Svar med det, der er rigtigt: hvilke dele der var med, hvilke der ikke var, og hvad status er. Har feltet ikke plads til en forklaring, så skriv en kort henvisning til en kommentar og læg kommentaren i et felt, kunden læser, fx et bemærkningsfelt eller en følgeskrivelse. Spørg kunden, om I må ændre et ja eller nej til en tekst, hvis skabelonen ikke giver andre muligheder. → Testspørgsmål i kundens skema

Omfang er det felt, der oftest skrives for bredt

Kundens skabelon kan have ét felt til omfang. Det er fristende at skrive leverancens navn og intet mere. Men kunden læser feltet som en beskrivelse af alt, der hører til leverancen, mens testen måske kun dækkede webdelen og ikke supportadgangen eller integrationen til kundens systemer.

Skriv omfanget som en kort liste: hvad der var med, og hvad der var udeladt. Bruger kunden sine egne betegnelser for delene, så brug dem. Har kunden ikke selv defineret, hvad leverancen består af, kan jeres liste blive den definition, kunden bruger fremover. Det er en fordel for begge parter, fordi næste års skabelon så kan udfyldes ud fra samme opdeling, og ændringer i leverancen bliver synlige. → Afgrænsning mod kunden

Underskrift og kopi

Nogle skabeloner har et felt til underskrift eller bekræftelse. Læs det, før det udfyldes. En underskrift under en tekst, der siger, at oplysningerne er korrekte, er noget andet end en underskrift under en tekst, der siger, at leverancen lever op til kundens krav.

Lad den person, der kender testen og opfølgningen, udfylde skabelonen, og lad den, der har mandat til at forpligte jer, skrive under. Er teksten ved underskriften bredere end det, I kan stå inde for, så foreslå en anden formulering, før I skriver under. Testleverandøren skal ikke skrive under på kundens skabelon på jeres vegne, medmindre det er aftalt. → Resumé, erklæring eller hel rapport

En udfyldt skabelon er et dokument, kunden kan komme tilbage til, også over for sin egen ledelse eller et tilsyn. Er kunden en væsentlig enhed, kan den kompetente myndighed efter NIS 2-lovens § 21, stk. 1, nr. 5 til 7, forlange oplysninger og dokumentation for kundens foranstaltninger. Det, I har skrevet i kundens skabelon, kan altså blive læst af andre end den, I sendte det til.

Gem derfor en kopi med dato, og noter, hvilken rapport og statusliste svarene bygger på. Næste år kan I se, hvad der blev svaret, og undgå at svare forskelligt på samme spørgsmål. → Dokumentationen på et fast tidspunkt hvert år

Et tænkt eksempel

En leverandør af et system til lagerstyring får en skabelon fra en medicinalgrossist. Et af felterne lyder: “Er alle systemer, der understøtter leverancen, penetrationstestet inden for de seneste tolv måneder? Ja eller nej.”

Testen dækkede webapplikationen og supportadgangen, men ikke den hostingplatform, en partner driver. Leverandøren svarer ikke ja. I stedet skriver leverandøren i bemærkningsfeltet, hvad der var med, at hostingplatformen testes af partneren, og at partnerens bekræftelse er vedlagt. Feltet for ja eller nej markeres efter aftale med grossistens sikkerhedsansvarlige som delvist. Grossisten accepterer svaret og tilføjer muligheden delvist i næste års skabelon.

Det skal I lade være med

At svare ja for at komme videre · et forkert ja kan blive læst af kundens ledelse eller et tilsyn.
At lægge forbeholdene i et bilag · skriv dem i det felt, de hører til.
At oversætte testerens skala uden at sige det · angiv den skala, fundene oprindelig blev vurderet efter.
At skrive under på en bredere tekst end testen dækker · foreslå en præcis formulering.
At udfylde skabelonen forfra hvert år uden at se på sidste års svar · svarene skal hænge sammen.

Hvad kan og ikke kan konkluderes

En omhyggeligt udfyldt skabelon gør det let for kunden at sammenligne jer med andre leverandører og at bruge oplysningerne i sin egen opfølgning. Den viser ikke mere, end testen og opfølgningen viser, og den er ikke en bekræftelse af, at I eller kunden opfylder NIS2. Om kunden finder svarene tilstrækkelige, afgør kunden. Softwarehuse, der modtager lignende skemaer uden et NIS2-krav bag, kan læse om den side af sagen på pentestrapport.dk. → Hvad testdokumentationen ikke kan bevise