Et anlæg til adgangskontrol, videoovervågning eller bygningsautomatik har to roller hos kunden på én gang. Det er en del af den fysiske sikring, og det er en forbindelse ind i kundens net, og den forbindelse kan have en serviceadgang, der ender hos jer. Når en NIS2-kunde spørger, om leverancen er testet, er svaret at dele anlægget op: det, I har installeret og har adgang til, kan indgå i jeres test, produktets indbyggede sikkerhed hører til producenten, og kundens net og bygning hører til kunden.
CTS står for central tilstandskontrol og styring, altså systemet, der styrer ventilation, varme, lys og lignende i en bygning. Teksten er ikke juridisk rådgivning.
Hvorfor kunden spørger til anlægget
Kundens foranstaltninger skal efter NIS 2-lovens § 6, stk. 1, nr. 4, omfatte forsyningskædesikkerhed, og nr. 9 nævner adgangskontrolpolitikker. Et sikringsanlæg berører begge dele, fordi det både er en leverance og selve redskabet til at styre adgangen. For kunden er spørgsmålet derfor ikke kun, om dørene og kameraerne virker som sikring, men også om anlægget kan bruges som vej ind til andre systemer, hvis nogen får fat i en konto eller en serviceforbindelse.
For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, er kravene mere detaljerede. Bilagets punkt 13.3.2 nævner adgangskontrol og løbende overvågning af lokaler, og punkt 13.3.3 kræver, at foranstaltningerne til fysisk adgangskontrol testes og gennemgås regelmæssigt. Punkt 6.7.2, litra d og h, handler om kontrol med tjenesteudbyderes fjernadgang, og om at forbindelser fra tjenesteudbydere kun tillades efter autorisering og i en bestemt periode.
Er kunden også identificeret som kritisk enhed, nævner CER-lovens § 6, stk. 1, nr. 2, detektionsudstyr og adgangskontrol som en del af den fysiske beskyttelse. → CER-loven og leverandøren
Hvad kunden kan bede testet
Det, I selv har sat op og styrer, kan indgå i en test af leverancen:
- Installationen · den opsætning, I har lavet: konti, roller, adskillelse fra kundens øvrige net og de forbindelser, anlægget har brug for.
- Fjernadgangen · den vej, jeres servicefolk bruger for at nå anlægget, og hvem der åbner og lukker den.
- Serviceværktøjet · programmer og servicecomputere, der bruges til at konfigurere eller opdatere centraler og styringer. → Administrationsværktøjer
- Integrationerne · fx forbindelsen til kundens brugerkatalog eller personalesystem, som styrer, hvem der får et kort.
- Visningen · de klienter og webflader, hvor kundens medarbejdere ser video eller betjener anlægget.
En test kan belyse, om en uvedkommende med adgang til nettet kan nå anlægget, og om en fælles servicekonto giver adgang hos flere kunder. Rettelser beskrives på begrebsniveau, fx færre konti med fulde rettigheder eller en fjernadgang, der kun er åben under et servicebesøg. → Jeres supportadgang til kunden
Producentens del og kundens del
Selve produktet, dets firmware og de sårbarheder, der findes i det fra fabrikken, hører til producenten. Finder testen en svaghed i produktet, er jeres opgave at melde den videre, holde kunden orienteret og installere rettelsen, når den kommer. Har I aftaler om sårbarhedsmeddelelser fra producenten, er de en del af svaret til kunden. Det samme gælder oplysningen om, hvor længe producenten leverer sikkerhedsrettelser til de modeller, der sidder hos kunden, for et anlæg til adgangskontrol kan blive siddende længe efter installationen. → Leverede produkter
Kundens net, kundens adskillelse mellem bygningsanlæg og kontornet og kundens regler for besøgende er kundens ansvar. Vil kunden vide, om en fremmed kan komme forbi dørene, er det en test af kundens fysiske sikring, som kunden selv bestiller og giver tilladelse til. Hvad en test af bygningsautomatik dækker set fra bygningens ejer, er forklaret på penetrationtest.dk. → Afgrænsning mod kundens miljø
Test uden at svække sikringen
Et sikringsanlæg må ikke stå uden funktion, fordi det testes. Aftal derfor på forhånd:
- Tidsrummet · hvornår testen må foregå, og hvem hos kunden der kan stoppe den.
- Alarmmodtagelsen · om vagtcentral eller alarmmodtager skal orienteres, så en alarm under testen ikke udløser en udrykning.
- Det, der ikke må ske · at døre låses op, at optagelser slettes, eller at styringen af ventilation og varme ændres.
- Testmiljøet · om dele af afprøvningen kan ske på en reservecentral eller et anlæg, der ikke er i drift.
Er anlægget nyt, er idriftsættelsen et naturligt tidspunkt, fordi kunden endnu ikke er afhængig af det. → Test ved idriftsættelse
Dokumentation til kunden
Kunden har brug for at vide, hvilke anlæg og lokationer der var med, om fjernadgangen indgik, hvad der blev fundet, og hvad status er på rettelserne. Detaljer om, hvordan en svaghed i et sikringsanlæg kan udnyttes, er følsomme for kunden selv og bør kun læses af dem, der skal rette dem. Et resumé med omfang, tidspunkt, fundenes alvor og status er som udgangspunkt nok. Opbevar den fulde rapport hos jer, og aftal, hvem hos kunden der må se den. → Resumé, erklæring eller hel rapport
Et tænkt eksempel
En installatør har leveret adgangskontrol og videoovervågning til et havneselskab, som er omfattet af NIS 2-loven. Selskabet beder om dokumentation for, at leverancen er testet. Installatøren får testet fjernadgangen, serviceværktøjet og opsætningen af centralerne i et aftalt tidsrum, med vagtcentralen orienteret.
Testen finder en fælles servicekonto, som også bruges hos andre kunder, og en svaghed i en kameratype. Installatøren erstatter kontoen med personlige konti og melder svagheden til producenten. Selskabet får et resumé med omfang, fund og status, og med en oplysning om, at selskabets egen adskillelse af nettet ikke var med i testen.
Det skal I lade være med
- At teste et kørende sikringsanlæg uden aftale om alarmer · en test må ikke udløse en udrykning.
- At bruge den samme servicekonto hos alle kunder · én svaghed rammer dem alle.
- At påtage jer producentens sårbarheder · meld dem videre, og hold kunden orienteret.
- At sende detaljer om svagheder i sikringen rundt · et resumé er nok for kunden.
- At teste kundens bygning under jeres egen aftale · det er kundens bestilling.
Hvad kan og ikke kan konkluderes
En test af installation, fjernadgang og serviceværktøj kan vise, hvordan den del af anlægget, I styrer, modstod testen. Den viser ikke, at produktet er uden svagheder, og den siger intet om kundens net eller kundens fysiske sikring. Kunden vurderer selv, om jeres dokumentation dækker det, kunden har brug for.
Tjekliste før testen
- ☐ Er det skrevet ned, hvilke anlæg, centraler og lokationer der er med?
- ☐ Indgår fjernadgangen og serviceværktøjet i omfanget?
- ☐ Er vagtcentral eller alarmmodtager orienteret om tidsrummet?
- ☐ Er det aftalt, hvad testen ikke må ændre på anlægget?
- ☐ Ved I, hvordan en svaghed i produktet meldes til producenten?
- ☐ Står det i resuméet, at kundens net og bygning ikke var med?
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4 og 9.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 6.7.2, litra d og h, og 13.3.2 og 13.3.3.
- CER-loven, lov nr. 433 af 6. maj 2025: § 6, stk. 1, nr. 2.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Serviceteknikere og arbejde på stedet · Test af fysisk adgang hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
