Kundespecifik opsætning eller fælles platform: hvilken version skal testes?

En leverandør med en fælles platform og mange kunder kan få samme spørgsmål fra hver NIS2-kunde: er det vores løsning, der er testet, eller bare jeres standardprodukt? Svaret afhænger af, hvor meget der er særligt for netop den kunde. Det hviler på en enkel regel fra kundens egne krav: testen skal dække de komponenter, der i kundens risikovurdering er relevante for sikker drift. Hvis kundens sikkerhed afhænger af noget, der kun findes i kundens opsætning, skal det med.

En test af den fælles platform kan dække det meste. Men de dele, der er bygget, sat op eller forbundet særligt for den enkelte kunde, kan en test af standardproduktet ikke sige noget om. Teksten er ikke juridisk rådgivning.

Hvad kundens krav bygger på

Gennemførelsesforordning (EU) 2024/2690 gælder for en afgrænset gruppe digitale udbydere, blandt andet cloud og administrerede tjenester, men andre NIS2-kunder kan bruge den som forbillede. Bilagets punkt 6.5.2, litra b, siger, at sikkerhedstest udføres efter en dokumenteret testmetode, der omfatter de komponenter, som en risikoanalyse har udpeget som relevante for sikker drift. Litra c siger, at testens type, omfang, tid og resultater dokumenteres.

For jer betyder det, at kunden vil se, at testens omfang svarer til det, kunden bruger. Står der i rapporten, at standardopsætningen er testet, kan kunden med rette spørge, om kundens opsætning ligner den. → Fire oplysninger om testen

Når en test af platformen er nok

En test af den fælles platform dækker kunden, når:

Koden er den samme · alle kunder kører samme version uden særlige tilpasninger.
Opsætningen er standard · kunden har kun valgt mellem indstillinger, som også var med i testen.
Adskillelsen er testet · testen har undersøgt, om en kunde kan nå en anden kundes data. → Delte platforme: én svaghed, mange kunder
Kundens roller svarer til testens roller · de brugertyper, kunden har, indgik i testen.

Hvis alle fire punkter holder, kan I forklare kunden, at platformtesten også gælder kundens brug, og henvise til, hvordan kunden selv kan kontrollere sine indstillinger. Vær dog opmærksom på, at kunden kan have ændret indstillinger efter testen. Hvis kunden selv administrerer brugere og rettigheder i løsningen, er det kundens ansvar, og testen af platformen kan ikke sige noget om, hvordan det er gjort.

Når kundens egen opsætning skal med

Kundespecifikke dele er der, hvor en platformtest ikke rækker:

Integrationer · forbindelser til kundens egne systemer, som kun findes hos denne kunde. → Integrationer og dataudveksling
Fælles login · når kundens medarbejdere logger ind med kundens egne konti, og koblingen er sat op særskilt.
Tilpasset kode · moduler, rapporter eller funktioner, der er udviklet for netop denne kunde.
Særskilt instans · når kunden har sin egen installation, eventuelt med egne servere eller eget miljø.
Særlige rettigheder · roller eller administratoradgange, som ikke findes hos andre kunder. → Kundens brugere hos jer

For hver af dem kan I vælge at teste dem særskilt for kunden, at lade dem indgå i den næste fælles test, hvis andre kunder har noget lignende, eller at dokumentere dem på anden måde, fx med en gennemgang af opsætningen.

Hvornår kundens del bør testes

SAMSIK’s vejledning om foranstaltninger anbefaler i afsnit 6.b, at systemer sikkerhedstestes i forbindelse med installation, vedligeholdelse og væsentlige ændringer. Overført til jer er de naturlige tidspunkter at teste en kundespecifik del, når den sættes i drift, og når den ændres væsentligt. En ny integration til kunden er en god anledning, mens en lille justering af en indstilling ikke nødvendigvis er det. → Test ved idriftsættelse

En fælles test, flere kundespecifikke tillæg

Nogle leverandører ender med en model i to lag. Den fælles platform testes efter en fast plan, og resultatet deles med alle kunder i en form, der passer til dem. Kundespecifikke dele testes som tillæg, når de opstår eller ændres, og resultatet går kun til den berørte kunde. Modellen gør det lettere at svare flere kunder på én gang uden at give en kunde oplysninger om en anden. → Flere NIS2-kunder med forskellige krav

Dokumenter for hver kunde, hvilken fælles test og hvilke tillæg der dækker kundens brug. Så kan kunden se hele billedet, og I kan vise, at intet er udeladt. Oversigten kan holdes kort: en linje pr. kundespecifik del med dato for den seneste test eller begrundelsen for, at den ikke er testet.

Spørgsmål om multi-tenant SaaS set fra softwarehusets side, herunder sikkerhedsspørgeskemaer om adskillelse af kunder, er behandlet på pentestrapport.dk (https://pentestrapport.dk/).

Et tænkt eksempel

En leverandør af et system til vedligeholdelse af maskiner har én fælles platform og tyve kunder. En fremstillingsvirksomhed, der er omfattet af NIS 2-loven, har en integration til sit produktionssystem og et fælles login med sine egne konti. Den fælles platform blev testet i foråret.

Leverandøren svarer kunden, at platformen og adskillelsen mellem kunder er testet, men at integrationen og login-koblingen ikke var med. Leverandøren foreslår et kort tillæg, der dækker de to dele, og aftaler med kunden, hvornår det kan gennemføres. Kunden får både resuméet af platformtesten og rapporten om tillægget. Tre måneder senere ønsker en anden kunde en lignende integration. Leverandøren beslutter at lade integrationstypen indgå i næste fælles test, så den fremover er dækket for alle kunder, der bruger den, mens den særlige opsætning hos hver kunde stadig vurderes for sig.

Det skal I lade være med

At sende platformtesten som svar uden at nævne kundens særlige dele · kunden opdager forskellen ved første spørgsmål.
At teste hver kundes opsætning fra bunden · det fælles kan testes én gang.
At give en kunde fund fra en anden kundes tillæg · hold resultaterne adskilt.
At glemme adskillelsen mellem kunder · den er det vigtigste spørgsmål på en fælles platform.
At lade kundespecifikke ændringer gå uden vurdering · en ny integration kan ændre billedet.

Hvad kan og ikke kan konkluderes

En test af den fælles platform kan dokumentere, hvordan den testede version og opsætning modstod testen, herunder adskillelsen mellem kunder, hvis den var med. Den siger intet om kundespecifikke integrationer, logins eller tilpasninger, der ikke indgik. Om platformtesten sammen med eventuelle tillæg er nok, er kundens vurdering.

Tjekliste til fælles og kundespecifikt

☐ Har I en liste over, hvad der er særligt for hver kunde?
☐ Var adskillelsen mellem kunder med i platformtesten?
☐ Svarer testens roller til kundens brugertyper?
☐ Er kundespecifikke integrationer og logins testet eller begrundet udeladt?
☐ Ved kunden, hvilke dokumenter der tilsammen dækker kundens brug?
☐ Er det aftalt, hvornår en kundespecifik ændring udløser en ny test?

Kilder

Gennemførelsesforordning (EU) 2024/2690: artikel 1 (hvem den gælder for) og bilagets punkt 6.5.2, litra b og c.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 6.b om test ved installation, vedligeholdelse og væsentlige ændringer.

Senest gennemgået: oktober 2026.