Rapportens modtager hos kunden: indkøb, sikkerhed eller ledelse?

Hos en NIS2-kunde er der ikke nødvendigvis kun én, der vil se jeres testresultat. Indkøb eller den leverandøransvarlige skal kunne afkrydse et kontraktkrav, sikkerhedsfunktionen skal vurdere fundene, og ledelsen skal have et overblik over risikoen. Svaret er derfor ikke at vælge én af dem, men at aftale, hvem der får den fulde rapport, og hvem der får et kortere dokument, der passer til deres opgave.

Fordelingen hviler på, hvordan kundens egne pligter er skåret. Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, og SAMSIK’s vejledning om foranstaltninger bruger tilsvarende ord for de enheder, NIS 2-loven omfatter. Begge lægger leverandørstyring, risikovurdering og rapportering til ledelsen forskellige steder i organisationen. Teksten er ikke juridisk rådgivning.

Tre modtagere med hvert sit spørgsmål

Den samme rapport bliver læst med tre forskellige spørgsmål:

Indkøb og leverandøransvar · har leverandøren gjort det, aftalen kræver, og hvornår skal det ske igen?
Sikkerhedsfunktionen · hvad blev fundet, hvor alvorligt er det for vores drift, og hvad gør leverandøren ved det?
Ledelsen · er risikoen ved denne leverandør acceptabel, og er der noget, vi selv skal beslutte?

Et dokument, der prøver at svare alle tre på én gang, bliver for teknisk til ledelsen og for tyndt til sikkerhedsfunktionen. Det kan også betyde, at en detaljeret beskrivelse af jeres svagheder ender i en indkøbsmappe, hvor mange har adgang. → Resumé, erklæring eller hel rapport

Indkøb og leverandøransvar: aftalen og registret

Forordningens bilag, punkt 5.1.4, beder kunden skrive cybersikkerhedskrav ind i kontrakterne med leverandører, herunder retten til audit eller til at modtage auditrapporter (litra e). Punkt 5.2 kræver et register over direkte leverandører med kontaktpunkter og en liste over de produkter og tjenester, hver leverandør leverer.

Den, der passer kontrakten og registret, har derfor brug for at vide, at testen er gennemført, hvad den dækkede, og hvornår den næste er planlagt. Den person har ikke nødvendigvis brug for selve fundene. Et resumé eller en erklæring, der kan lægges ved leverandørsagen, er som regel det rette niveau. → Kundens leverandørregister

Sikkerhedsfunktionen: fund, alvor og plan

Sikkerhedsfunktionen er den modtager, der skal bruge detaljerne. Hvis jeres leverance indgår i kundens net- og informationssystemer, skal kunden kunne vurdere fundene i lyset af sin egen risikovurdering. Forordningens punkt 2.1.1 lægger accepten af resterende risici hos ledelsesorganet eller hos personer, der er ansvarlige og bemyndigede til at styre risici. Det kan være den funktion, der forbereder den beslutning.

Her hører den fulde rapport eller en kundeversion hjemme, sammen med en statusliste over rettelser. Spørg, om sikkerhedsfunktionen er en navngiven person, et team eller en ekstern rådgiver, kunden har tilknyttet. Det afgør, hvem I sender til, og hvem der kan stille opfølgende spørgsmål.

En fjerde modtager dukker op, når kunden selv er under tilsyn eller bliver revideret. Så kan kundens revisor eller myndighed få adgang til materialet via kunden. I sender ikke selv til dem, men det er en god grund til, at den fulde rapport kan forstås uden jeres mundtlige forklaring, og at kunden ved, hvem hos jer der kan svare på spørgsmål om den. → Status på rettelser

Ledelsen: overblik frem for detaljer

NIS 2-lovens § 7 pålægger kundens ledelsesorgan at godkende foranstaltningerne og føre tilsyn med gennemførelsen. Det er kundens ansvar, ikke jeres, og det behandles kun kort her. For jer betyder det, at et testresultat kan ende på et ledelsesmøde hos kunden, og at det, ledelsen ser, kan være sikkerhedsfunktionens sammenfatning.

I kan gøre den sammenfatning lettere ved at levere et kort resumé i almindeligt sprog: hvad blev testet, hvad var de alvorligste fund, hvad er status, og er der beslutninger, kunden selv skal træffe. Undlad tekniske detaljer, der kun giver mening for en specialist. Har et fund konsekvenser, som kunden selv skal handle på, fx en ændring i kundens egen opsætning, så skriv det tydeligt i resuméet. Det er den del, ledelsen hos kunden kan have brug for at tage stilling til. → Ledelsens godkendelse hos kunden

Spørg, før I sender

Den mest almindelige fejl er at sende rapporten til den, der bad om den. Det kan være indkøb, fordi kravet stod i et brev om leverandøraftalen. Stil i stedet tre spørgsmål, før noget sendes:

Hvem hos kunden skal vurdere fundene, og hvem skal kun vide, at testen er gennemført?
Hvem må modtage den fulde rapport, og gennem hvilken kanal?
Hvem kontakter I, hvis status på et fund ændrer sig, eller hvis der kommer nye spørgsmål?

Skriv svarene ned, og brug dem næste gang. Kontaktpersoner hos kunden skifter, og et navn fra sidste år er ikke nødvendigvis det rigtige i år. → Sikker aflevering af testresultater

Et tænkt eksempel

En leverandør af et planlægningssystem til en kommunal hjemmepleje modtager et krav om testdokumentation fra kommunens indkøbsafdeling. Leverandøren spørger, hvem der skal vurdere fundene, og får at vide, at kommunens informationssikkerhedskoordinator gør det, og at direktionen får en samlet status for de vigtigste leverandører en gang om året.

Leverandøren sender en erklæring med omfang, testperiode og status til indkøb, den fulde rapport via en delt mappe med adgang for koordinatoren og et halvsides resumé, som koordinatoren kan bruge over for direktionen. Ingen af modtagerne får mere, end de skal bruge, og kommunen har alligevel det hele. Leverandøren noterer fordelingen i sin kundeoversigt, så den næste aflevering kan følge samme spor, og beder koordinatoren bekræfte den, før næste test.

Det skal I lade være med

At sende alt til den, der skrev brevet · afsenderen er ikke altid den, der skal vurdere fundene.
At sende den fulde rapport til en fællespostkasse · I mister overblikket over, hvem der har læst den.
At skrive resuméet til ledelsen i specialistsprog · det bliver omskrevet af en anden, og nuancer kan gå tabt.
At lade en kontaktperson stå urørt i flere år · bekræft modtageren ved hver ny aflevering.
At afgøre kundens fordeling for kunden · I kan foreslå, men kunden bestemmer, hvem der skal have hvad.

Hvad kan og ikke kan konkluderes

En klar aftale om modtagere sikrer, at den rette person hos kunden kan vurdere jeres fund, og at detaljerne ikke spredes unødigt. Den siger intet om, hvordan kunden selv fordeler ansvaret internt, og den erstatter ikke aftaler om opbevaring og videregivelse. → Kundens opbevaring af jeres rapport