Ledelsens godkendelse hos kunden: hvorfor kravet til jer kan komme fra direktionen

Et krav om sikkerhedstest kommer ikke altid fra kundens IT-afdeling. Nogle gange står direktøren eller bestyrelsesformanden bag, og så er tonen en anden. Svaret på hvorfor hviler på NIS 2-lovens § 7: de foranstaltninger, en omfattet enhed træffer efter § 6, skal være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med, at de gennemføres. Forsyningskædesikkerhed er en af foranstaltningerne, og derfor kan ledelsen hos kunden have brug for at vide, hvordan risikoen fra jer er vurderet.

Ledelsens ansvar som helhed er et emne for sig, og det går vi ikke i dybden med her. Pointen for en leverandør er, at kravet til jer kan være en følge af, at kundens ledelse skal kunne stå inde for det, den har godkendt. Teksten er ikke juridisk rådgivning.

Hvad § 7 siger, kort

§ 7, stk. 1, siger, at foranstaltningerne efter § 6, stk. 1 og 2, og regler fastsat i medfør af § 6, stk. 3, skal være godkendt af enhedens ledelsesorgan, og at ledelsesorganet fører tilsyn med gennemførelsen. Stk. 2 handler om, at ledelsens medlemmer følger kurser i cybersikkerhed. Direktivets artikel 20 er grundlaget.

SAMSIK’s vejledning om foranstaltninger forklarer, hvem ledelsesorganet er. I et selskab med både bestyrelse og direktion er det bestyrelsen, i et selskab med kun en direktion er det direktionen, og i en offentlig myndighed er det den øverste administrative ledelse. → NIS 2-lovens § 6

Hvorfor det lander hos jer

Når ledelsen har godkendt kundens politik for forsyningskædesikkerhed, skal den også kunne se, at politikken bliver fulgt. For leverandører, der har adgang til kundens systemer eller data, kan det betyde, at nogen hos kunden skal kunne rapportere, at risikoen er vurderet, og hvad vurderingen byggede på. SAMSIK’s vejledning har i afsnittet om forsyningskædesikkerhed et eksempel med spørgsmål, en virksomhed kan stille sig selv. Blandt dem er, om kontrakterne giver ret til audit og dokumentation for sikkerhedspraksis, især for leverandører med adgang til produktionssystemer eller følsomme data, og om der er en plan for regelmæssig revurdering af leverandører. Det er spørgsmål af den slags, en ledelse kan stille sin organisation, og svaret kan ende som et krav til jer.

En testrapport eller et resumé fra jer kan være et af de dokumenter, der indgår i den rapportering. SAMSIK’s vejledning om tekniske test siger, at resultater bør rapporteres til relevant ledelse, og at restrisiko skal accepteres af risikoejere med passende rapportering. For de digitale udbydere, som forordning 2024/2690 gælder for, siger bilagets punkt 2.3.3, at resultaterne af uafhængige gennemgange rapporteres til ledelsesorganerne. → Forsyningskædesikkerhed

Tegn på, at kravet kommer fra ledelsen

Nogle formuleringer peger på, at kravet er formet til ledelsens brug:

Ønske om en konklusion i almindeligt sprog · ledelsen skal kunne forstå resultatet uden teknisk baggrund.
Spørgsmål om restrisiko · kunden vil vide, hvad der står tilbage, efter rettelserne er lavet.
En fast dato for aflevering · dokumentationen skal bruges til et bestemt møde.
Krav om underskrift fra jeres ledelse · kunden vil have en bekræftelse fra et ansvarligt niveau, ikke kun fra en tekniker.
Henvisning til kundens årshjul · kravet hænger sammen med en fast gennemgang af foranstaltningerne.

Hvad kundens ledelse vil kunne læse

Kundens ledelse har ikke nødvendigvis brug for detaljerne om de enkelte fund. Den har brug for at forstå, hvad der blev testet, hvor alvorlige fundene var, og hvad der er gjort ved dem. En god dokumentation til den brug har:

Et kort resumé · hvad testen dækkede, og hvad den ikke dækkede.
En samlet vurdering · uden tekniske forkortelser.
Status på alvorlige fund · lukket, under rettelse med en dato, eller accepteret med en begrundelse.
Testens dato og omfang · så ledelsen kan se, om resultatet stadig er aktuelt.

Den fulde tekniske rapport kan blive hos kundens sikkerhedsfunktion eller hos jer. Aftal, hvilken version der går til ledelsen, og hvem hos kunden der må sende den videre. Et dokument til ledelsen kan ende i et mødesystem, som mange har adgang til. → Resumé, erklæring eller hel rapport

Et tænkt eksempel fra en vandforsyning

En lille virksomhed leverer fjernovervågning af pumpestationer til et vandselskab. Vandselskabets bestyrelse har godkendt en politik, hvor leverandører med fjernadgang til driften skal vurderes hvert år. Før bestyrelsesmødet beder driftschefen leverandøren om dokumentation for, at forbindelsen ind til anlæggene er testet, og om en kort status på fund.

Leverandøren har en teknisk rapport fra en test af fjernadgangen. Den er for detaljeret til bestyrelsen og indeholder oplysninger, der ikke bør ligge i et mødemateriale. Løsningen er et resumé på en side: hvad der blev testet, hvornår, de alvorligste fund i almindeligt sprog og status på hvert af dem. Driftschefen får den fulde rapport, hvis aftalen giver adgang til den. Bestyrelsen får det, den skal bruge for at følge op på sin egen politik. → Fjernovervågning af anlæg

Når kunden beder om jeres ledelses bekræftelse

Nogle kunder beder om, at jeres direktør skriver under på, at testen er gennemført, og at alvorlige fund er håndteret. Det er en rimelig måde for kundens ledelse at få et ansvarligt svar på. Men skriv kun under på det, der er sket. En bekræftelse af, at en test er udført på en bestemt dato med et bestemt omfang, er noget andet end en erklæring om, at I overholder NIS2 eller er sikre. Lad gerne teksten henvise til den rapport eller det resumé, bekræftelsen bygger på, så læseren kan se grundlaget. → Rapportens modtager hos kunden

Det skal I lade være med

At sende den tekniske rapport direkte til kundens bestyrelse · aftal en version til formålet.
At skrive under på mere end testen viser · bekræft fakta, ikke overholdelse.
At undervurdere en fast mødedato · aftal tidsplanen, så dokumentationen er klar.
At gå ud fra, at ledelsen kender jeres leverance · beskriv kort, hvad kunden er afhængig af.
At gøre kundens ledelsesansvar til jeres · I leverer grundlag, kunden beslutter.

Hvad kan og ikke kan konkluderes

§ 7 forklarer, hvorfor kundens ledelse kan efterspørge dokumentation for, at risikoen fra leverandører er vurderet. Den pålægger ikke jer noget direkte, medmindre I selv er omfattet. En test hos jer kan give kundens ledelse et konkret grundlag, men den kan ikke afgøre, om ledelsen har opfyldt sine pligter, og den kan ikke vise, at alle risici i forsyningskæden er håndteret.