Kundens egen test finder fejl i jeres løsning

Når en NIS2-kunde selv har fået jeres løsning testet og sender jer en liste med fund, er det ikke en anklage, men et input til kundens egen risikostyring, som kunden forventer, at I håndterer. Svaret er en fast gang i fire trin: tag imod fundene, efterprøv dem, ret dem efter alvor og aftale, og giv kunden et svar for hvert fund. Det hviler på aftalen med kunden og på de tekster om leverandørstyring, kunden arbejder efter.

Aftalen om selve testen hører til, før den begynder. Når resultatet ligger på bordet, er det håndteringen, kunden ser på. Teksten er ikke juridisk rådgivning. → Kunden vil selv teste jeres løsning

Hvorfor kunden sender fundene til jer

Gennemførelsesforordning 2024/2690 er bindende for en afgrænset kreds af digitale udbydere, fx cloud og administrerede tjenester. Bilagets punkt 5.1.4 nævner retten til audit eller til at modtage auditrapporter (litra e) og en pligt for leverandøren til at håndtere sårbarheder, der udgør en risiko for kundens systemer (litra f). Bilagets punkt 6.5.2 beder enheden dokumentere testens resultater med en vurdering af afbødende foranstaltninger for hvert fund og anvende afbødende foranstaltninger ved alvorlige fund.

Når kunden har testet en løsning, kunden er afhængig af, ligger nogle af de afbødende foranstaltninger hos jer. Kunden har derfor brug for jeres svar for at kunne lukke sin egen dokumentation. Uden svaret står fundet åbent i kundens papirer, og kunden må selv beslutte, om risikoen kan bæres. Det er en beslutning, kunden helst vil tage med jeres vurdering i hånden. SAMSIK’s vejledning om foranstaltninger har tilsvarende punkter om leverandøraftaler for de øvrige enheder under loven. → Pligt til at håndtere sårbarheder i leverandøraftalen

Trin 1: Tag imod fundene

Bekræft over for kunden, at fundene er modtaget, hvem der har ansvaret hos jer, og hvornår kunden hører fra jer igen. Bed om det, I skal bruge for at arbejde videre:

Fundbeskrivelsen · så præcis, at fejlen kan genfindes, også hvis rapporten ikke sendes i sin helhed.
Tidspunkt og miljø · hvilken version, hvilket miljø og hvilken dato fundet blev gjort.
Testerens alvorlighed · og den skala, der er brugt.
Kontakt til testeren · så tekniske spørgsmål kan afklares direkte, hvis kunden tillader det.

Fundene kan beskrive svagheder i et system, som også andre kunder bruger. Behandl dem derfor fortroligt, også internt, og giv kun adgang til dem, der skal arbejde med fundene. Gem fundene og jeres egne noter samlet ét sted, så sagen kan følges, også hvis den ansvarlige skifter undervejs. → Fund, der også rammer andre kunder

Trin 2: Efterprøv hvert fund

Før I retter, skal I vide, om fundet holder i jeres løsning. Der er tre mulige svar:

Bekræftet · fejlen findes, som beskrevet.
Bekræftet med forbehold · fejlen findes, men forudsætningen er anderledes, fx en opsætning, der kun findes hos denne kunde.
Ikke genskabt · I kan ikke finde fejlen, og I skriver, hvad I har undersøgt.

Det tredje svar skal begrundes konkret. Et svar om, at fejlen ikke kunne genskabes, uden at det fremgår hvordan, giver kunden intet at arbejde med og fører let til nye spørgsmål. Beskriv, hvilken version I har prøvet på, hvilke trin I har fulgt, og hvad resultatet var. Er I i tvivl, så foreslå et kort møde med kundens tester, hvor fundet gennemgås sammen. Hvis fundet skyldes kundens egen opsætning, så skriv det, og beskriv, hvad kunden kan ændre.

Trin 3: Ret efter alvor og aftale

De bekræftede fund følger den proces og de frister, I har aftalt med kunden. Står der intet i aftalen, så foreslå en plan pr. fund, og bed kunden bekræfte den. Overvej også, om rettelsen skal gælde alle kunder, der bruger samme version, og ikke kun den kunde, der fandt fejlen. Er I uenige i kundens vurdering af alvor, er det en dialog for sig, som ikke bør forsinke rettelsen af det, I er enige om. → Kundens frister for rettelser

Et kritisk fund, der kan udnyttes nu, kræver et midlertidigt tiltag med det samme, også før den egentlige rettelse er klar. → Midlertidige tiltag, når en rettelse tager tid

Trin 4: Giv et svar for hvert fund

Kunden har brug for et svar, der kan sættes direkte ind i kundens egen dokumentation. For hvert fund bør det vise:

Kundens reference · det nummer, kunden selv bruger.
Jeres vurdering · bekræftet, med forbehold eller ikke genskabt.
Handling · rettelse, midlertidigt tiltag eller begrundet accept.
Dato · planlagt og faktisk.
Efterprøvning · hvordan og af hvem.

Brug kundens nummerering, ikke jeres egen. Det sparer kunden for at oversætte, og det gør det lettere for kunden at følge sagen til ende. → Status på rettelser

Et tænkt eksempel

En hospitalsafdeling har fået testet den webportal, som en leverandør stiller til rådighed for afdelingens patienter. Testen finder seks fund, heraf et alvorligt om sessioner, der ikke udløber.

Leverandøren bekræfter modtagelsen samme dag og efterprøver fundene i løbet af ugen. Fem bekræftes, og ét viser sig at skyldes en indstilling, som kun findes i afdelingens opsætning. Leverandøren retter det alvorlige fund og sender et svar med afdelingens egne referencer, datoer og en henvisning til efterprøvningen. For indstillingen beskriver leverandøren, hvad afdelingen kan ændre. Afdelingen lukker sin egen dokumentation på den baggrund. Ved næste test hos afdelingen indgår de seks fund som punkter, testeren skal efterprøve.

Det skal I lade være med

At afvise fund, fordi testen ikke var jeres · fundet er en oplysning om jeres løsning.
At svare samlet for alle fund · kunden skal kunne følge det enkelte fund.
At skrive ikke genskabt uden at sige hvordan · begrundelsen er det, kunden kan bruge.
At lade uenighed om alvor forsinke rettelser · ret det, I er enige om.
At dele kundens fund med andre kunder · uden aftale med kunden.

Hvad kan og ikke kan konkluderes

Kundens test viser, hvad testeren fandt i jeres løsning på testtidspunktet og inden for kundens omfang. Den viser ikke, hvordan resten af jeres leverance står, og kundens fund erstatter ikke jeres egen test. Omvendt kan jeres egen test heller ikke bruges som modbevis mod et konkret fund, kunden har gjort. Jeres svar viser kunden, hvordan I håndterer fund, og det kan være mindst lige så vigtigt for kunden som fundene selv.

Tjekliste, når kundens test har fundet fejl

☐ Er modtagelsen bekræftet med ansvarlig og dato for næste svar?
☐ Har I det, der skal til for at efterprøve fundene?
☐ Er hvert fund bekræftet, bekræftet med forbehold eller begrundet ikke genskabt?
☐ Er der midlertidige tiltag for kritiske fund?
☐ Bruger svaret kundens egen nummerering?
☐ Er fundene behandlet fortroligt?

Kilder

Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra e og f, og 6.5.2, litra c og d. Gælder for de digitale udbydere, der er nævnt i artikel 1.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om aftaler med leverandører, herunder ret til revision og håndtering af sårbarheder.

Senest gennemgået: oktober 2026.