Udstyr og software, I leverer ind i kundens net

Når jeres leverance er en fysisk enhed eller et program, der installeres hos kunden, er det jeres produkt, der står inde bag kundens forsvar. Kundens spørgsmål om test handler derfor om noget andet end ved en tjeneste, I selv driver. Svaret hviler på NIS2-direktivets artikel 21, stk. 3, der beder kunden tage hensyn til den generelle kvalitet af leverandørernes produkter, og på en enkel skelnen: produktet kan I teste, men installationen i kundens net tilhører kunden.

Det giver to slags test med to ejere. Den første viser, hvor robust produktet er. Den anden viser, hvordan det er sat op og forbundet hos netop denne kunde. Teksten er ikke juridisk rådgivning.

Hvad kunden ser, når jeres produkt står i nettet

En styreenhed, en adgangskontrol, en server med jeres software eller en agent på kundens maskiner er alle steder, hvor kundens net har tillid til noget, kunden ikke selv har bygget. Kunden kan ikke se ind i produktet, men skal stadig vurdere, om det er et svagt punkt.

Spørgsmålene kan derfor dreje sig om tre ting: hvilke svagheder produktet har i sig selv, hvordan det skal sættes op for at være sikkert, og hvor længe det får sikkerhedsopdateringer. Det første kan en test belyse. De to andre kræver dokumentation fra jer. → Artikel 21, stk. 3

Test af produktet hos jer

Produktet testes bedst i en opsætning, I selv kontrollerer, fx et laboratorium eller et testmiljø, der ligner det, kunderne bruger. Fordelen er, at testen kan gå i dybden uden risiko for kundens drift, og at resultatet kan bruges over for flere kunder.

Aftal med testleverandøren, at rapporten tydeligt angiver:

Version · hvilken firmware eller softwareversion der blev testet.
Opsætning · om det var standardopsætningen eller en hærdet opsætning, og hvilke funktioner der var slået til.
Grænseflader · hvilke forbindelser, porte og brugerflader der indgik.
Det, der ikke var med · fx funktioner, der kun findes hos enkelte kunder.

En kunde, der bruger en ældre version, får kun begrænset værdi af en test af den nyeste. Skriv derfor, hvilke versioner kunderne har, og hvordan de kommer op på den testede. → Opdateringer fra jer til kunden

Test af installationen hos kunden

Installationen er en del af kundens net, og kunden bestemmer, om og hvordan den testes. Hvis kunden vil teste den, kan I bidrage med en beskrivelse af den anbefalede opsætning og af de forbindelser, produktet skal have. Det gør det muligt for kunden at skelne mellem en fejl i produktet og en fejl i opsætningen.

Hvis kunden vil have, at I tester installationen, skal kunden give tilladelsen, fordi det er kundens net. Husk også, at testen kan påvirke andet udstyr i nettet, især i produktion og forsyning, hvor aktive scanninger kan forstyrre driften.

Et tænkt eksempel: en leverandør af adgangskontrol til et hospital har testet sin centralenhed i eget laboratorium. Hospitalet vil vide, om enhederne på dets egne gange er sat korrekt op. Leverandøren sender opsætningsvejledningen og en liste over de forbindelser, enheden skal bruge, og hospitalet lader sin egen testleverandør kontrollere installationen ud fra den. Hvert dokument svarer på sit eget spørgsmål, og ingen af parterne tester noget, de ikke ejer. → Kunden vil selv teste jeres løsning · → Produktionsudstyr og OT

Dokumentation, kunden kan efterspørge

Gennemførelsesforordning (EU) 2024/2690 gælder for en afgrænset gruppe digitale udbydere som cloud, datacentre og administrerede tjenester. Den gælder ikke for alle NIS2-kunder, men den kan bruges som skabelon, fordi den er konkret. Bilagets punkt 6.1.2 beskriver, hvad de omfattede enheders indkøbsprocesser skal omfatte, når de køber IKT-produkter. Listen forklarer en række af de spørgsmål, leverandører af udstyr og software får:

Sikkerhedskrav til produktet · hvad produktet skal kunne (litra a).
Sikkerhedsopdateringer i levetiden · eller udskiftning, når produktet ikke længere understøttes (litra b).
Komponenter · oplysninger om de hardware- og softwarekomponenter, der indgår (litra c).
Sikker konfiguration · produktets sikkerhedsfunktioner og den opsætning, der er nødvendig for sikker drift (litra d).
Validering · metoder til at kontrollere, at det leverede opfylder kravene, og dokumentation for resultatet (litra f).

En testrapport er et af flere mulige svar på det sidste punkt. Komponentoversigten, opsætningsvejledningen og supportperioden er de øvrige.

Andre EU-regler om produkter

Forordning (EU) 2024/2847 om cyberrobusthed stiller krav til fabrikanter af produkter med digitale elementer. Ifølge forordningens artikel 71 finder den som helhed anvendelse fra 11. december 2027, mens fabrikantens rapporteringsforpligtelser i artikel 14 gælder fra 11. september 2026. Om og hvordan forordningen gælder for jeres produkt, er en selvstændig vurdering, der ligger uden for testens emne. Nævn den kun over for kunden, hvis I har taget stilling til den.

Når fund rammer produkter, der allerede er leveret

Finder testen en svaghed i produktet, gælder den sandsynligvis alle kunder med samme version. Det rejser spørgsmål om, hvem der skal have besked, hvornår en rettelse er klar, og hvad kunderne kan gøre i mellemtiden. Hvis svagheden ligger i en komponent fra en anden producent, skal I også have en plan for, hvordan I får rettelsen derfra. Aftal derfor allerede ved bestillingen, hvem i jeres organisation der vurderer, om et fund gælder flere kunder, og hvem der skriver beskeden til dem. → Fund i tredjepartskomponenter

Det skal I lade være med

At sende en test af den nyeste version til kunder på en ældre · kunden skal kunne se forskellen.
At teste en installation hos kunden uden kundens skriftlige tilladelse · nettet er kundens.
At udelade opsætningsvejledningen · uden den kan kunden ikke vurdere, om fejl skyldes produkt eller opsætning.
At love opdateringer, I ikke har planlagt · supportperioden er et løfte, kunden kan holde jer op på.
At omtale andre EU-regler uden at have læst dem · et forkert svar er værre end intet.

Hvad kan og ikke kan konkluderes

En test af produktet i jeres egen opsætning kan dokumentere, hvilke svagheder der blev fundet i en bestemt version med en bestemt opsætning. Den kan ikke vise, at installationen hos en given kunde er sikker, og den siger intet om kommende versioner. Kunden vurderer selv, om produkttesten sammen med jeres øvrige dokumentation er nok. En ny version kræver som regel en ny vurdering af, om testen stadig dækker.

Tjekliste til et leveret produkt

☐ Er det klart, hvilken version og opsætning testen dækker?
☐ Har I en opsætningsvejledning, kunden kan bruge?
☐ Kan I oplyse supportperioden for sikkerhedsopdateringer?
☐ Har I en oversigt over komponenter fra andre producenter?
☐ Er det aftalt, hvem der giver tilladelse til test af installationen hos kunden?
☐ Ved I, hvordan kunder med samme version får besked om et fund?