Leverancen kører hos en hostingpartner: tilladelse og afgrænsning

Nogle leverandører driver ikke selv de servere, deres løsning kører på. Den står hos en hostingpartner, der ejer maskinerne, netværket og måske en del af opsætningen. Når en NIS2-kunde kræver, at leverancen testes, skal I derfor have tilladelse fra to steder: fra jer selv til jeres del og fra hostingpartneren til det, partneren ejer. Svaret på, hvem der må teste hvad, hviler på ejerskabet og på hostingaftalen, ikke på kundens krav.

Kunden har en aftale med jer. Hostingpartneren har en aftale med jer. Kunden og hostingpartneren har ikke nødvendigvis en aftale med hinanden. Det gør jer til det led, der skal få de tre parter til at passe sammen. Teksten er ikke juridisk rådgivning.

Tre parter, tre interesser

Det letter samtalen at skrive op, hvad hver part vil have ud af testen:

Kunden · vil have dokumentation for, at den leverance, kunden er afhængig af, er afprøvet. Kunden er ligeglad med, hvem der ejer hvilken server, men ikke med resultatet.
I · vil have en test, der dækker leverancen, kan bruges over for kunden og kan gennemføres uden brud på hostingaftalen.
Hostingpartneren · vil beskytte sin platform og sine andre kunder. En test, der rammer delt udstyr, kan påvirke andre end jer.

Hvis kunden ser sig selv som den, der bestemmer omfanget, og hostingpartneren som den, der bestemmer reglerne, er det jer, der skal oversætte mellem de to.

Hvem ejer hvad i en hostingaftale

Fordelingen afhænger af aftaletypen. Som tommelfingerregel:

Fysisk server og netværk · ejes og drives af hostingpartneren. Test af dem kræver partnerens tilladelse.
Delt udstyr · fx fælles firewall, lastfordeling eller lagersystem, som flere af partnerens kunder bruger. Partneren vil normalt ikke tillade, at det testes som en del af jeres opgave.
Jeres servere eller virtuelle maskiner · afhængigt af aftalen administrerer I selv styresystemet, eller partneren gør det.
Jeres applikation, data og konti · er jeres, og I giver selv tilladelsen.

Jo mere partneren administrerer, jo mere af testen kræver partnerens accept. Det gælder også, når partneren alene har adgang til at ændre opsætningen af de servere, I lejer. Så er en svaghed i opsætningen måske partnerens at rette, selv om den findes på jeres maskine, og det skal stå klart, før testen begynder. Læs aftalen, før I lover kunden et bestemt omfang. → Datacenteret i kæden

Hvad I skal aftale med hostingpartneren

En test af en løsning hos en hostingpartner kræver en forhåndsaftale om:

Om testen skal varsles · og i givet fald til hvem og hvor lang tid i forvejen.
Hvilke adresser testen kommer fra · så partnerens overvågning ikke blokerer testen eller slår alarm uden grund.
Hvad der ikke må testes · fx delt udstyr eller belastningstest.
Hvem der kan stoppe testen · med telefonnummer, der er bemandet i testvinduet.
Hvad der sker ved fund i partnerens del · hvem der får rapporten om det, og hvem der retter.

Hvis partneren har offentliggjort regler for test, følges de. Spørg også, om partneren selv kører scanninger eller overvågning, der kan forveksles med testen, så de to ikke forstyrrer hinanden. Hvis ikke, skal tilladelsen være skriftlig. Mangler den, kan testen enten vente eller afgrænses til det, I selv ejer, med en klar note i rapporten. → Afgrænsning mod kundens miljø

Når kunden kræver noget om jeres underleverandører

En NIS2-kunde kan stille krav om, at I sender sikkerhedskravene videre til jeres egne underleverandører. For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, nævner bilagets punkt 5.1.4, litra g, krav vedrørende underentreprise og cybersikkerhedskrav til underleverandører som noget, kontrakterne skal angive, hvor det er relevant. Andre NIS2-kunder kan bruge samme punkt som forbillede.

For testen betyder det, at kunden kan spørge, hvordan I sikrer jer, at hostingpartnerens del er i orden, når den ikke indgår i jeres test. Svaret kan være hostingpartnerens egen dokumentation, fx en revisionserklæring eller en certificering, kombineret med jeres egen test af det, der er jeres. → Krav til jeres egne underleverandører

Rapporten skal vise grænsen

Når testen er afgrænset af hostingaftalen, skal det fremgå af dokumentationen til kunden. Skriv, hvilke dele der blev testet, hvilke dele der ejes af hostingpartneren og ikke var med, og hvilken dokumentation der dækker dem. Kunden kan så se, at intet er glemt, men at noget er dækket på anden måde. Hvis kunden er under tilsyn, kan netop den forklaring være det, kunden selv skal kunne vise videre. Et kort afsnit om afgrænsningen sparer derfor spørgsmål senere, og det gør det lettere at genbruge rapporten over for andre kunder med samme hostingopsætning. → Hvem tester hvad i en lagdelt leverance

Et tænkt eksempel

En leverandør af et bookingsystem til et trafikselskab har sin løsning hos en dansk hostingpartner på egne virtuelle servere. Partneren administrerer styresystemerne og en fælles firewall. Trafikselskabet kræver en penetrationstest af leverancen.

Leverandøren beder partneren om tilladelse og får den til applikationen og de virtuelle servere, men ikke til den fælles firewall. Partneren ønsker varsling og testerens afsenderadresser. Rapporten beskriver afgrænsningen, og leverandøren vedlægger partnerens seneste revisionserklæring for den del, der ikke blev testet. Trafikselskabet kan nu vurdere hele kæden ud fra to dokumenter i stedet for ét. Året efter skifter partneren firewall, og leverandøren får besked. Ændringen nævnes i den næste rapport, fordi den flytter grænsen mellem de to parters ansvar.

Det skal I lade være med

At love kunden en test af hele platformen · før I har læst hostingaftalen.
At teste uden partnerens accept · selv om det er jeres egne servere, kan nettet være partnerens.
At skjule, at noget var holdt ude · kunden opdager det før eller siden.
At lade kunden kontakte partneren direkte om testen · uden at I er med, bliver ansvaret uklart.
At glemme varslingen · en uvarslet test kan blive stoppet midt i testvinduet.

Hvad kan og ikke kan konkluderes

En test af jeres del af en leverance hos en hostingpartner kan dokumentere, hvordan applikationen, jeres servere og jeres konti modstod testen. Den siger intet om partnerens delte udstyr eller fysiske sikkerhed. Den del må dækkes af partnerens egen dokumentation, og kunden vurderer, om helheden er tilstrækkelig. En tilladelse fra partneren er heller ikke en garanti for, at partnerens del er sikker.