Test i serviceaftalen: punkterne om test i MSP‑kontrakten

En driftsleverandør, der først aftaler test, når kunden beder om en rapport, ender med at forhandle det samme spørgsmål igen og igen. Det er lettere at have svaret stående i serviceaftalen. Punkterne om test hviler på det, NIS2-kunder skal stille af krav til deres tjenesteudbydere, og som forordning (EU) 2024/2690 beskriver i bilagets punkt 5.1.4. Svaret er en aftale, der siger, hvem der tester hvad, hvem der betaler, og hvem der får resultatet at se.

Teksten beskriver de spørgsmål, aftalen kan tage stilling til. Den er ikke juridisk rådgivning, og ordlyden i jeres aftaler bør gennemgås af en, der kan rådgive om kontrakter.

Hvorfor test hører hjemme i aftalen

En NIS2-kunde skal efter lovens § 6, stk. 1, nr. 4, have styr på sikkerheden i forholdet til sine direkte leverandører og tjenesteudbydere. Det sker i praksis gennem aftalen. Står der intet om test, må kunden spørge hver gang, og I må svare uden en fælles ramme. Står der for meget, kan I have lovet noget, I ikke kan levere.

SAMSIK’s vejledning om anvendelsesområdet siger i afsnit 8, at en NIS2-enhed ikke skal stille præcis de samme krav til sine leverandører, som enheden selv er underlagt, men at kundens risikovurdering kan føre til forholdsmæssige krav. Det giver plads til en aftale, der passer til jeres leverance. → Proportionalitet i kravet

Det kunden kan bygge på

Forordning 2024/2690 gælder for kunder, der selv er digitale udbydere, fx cloud- og datacenterudbydere. Andre NIS2-kunder kan bruge den som inspiration. Punkt 5.1.4 opregner, hvad kontrakter med leverandører og tjenesteudbydere skal angive, hvor det er relevant. Fire af punkterne berører test direkte:

Litra a · cybersikkerhedskrav til leverandøren eller tjenesteudbyderen.
Litra e · retten til audit eller retten til at modtage auditrapporter.
Litra f · en forpligtelse til at håndtere sårbarheder, der udgør en risiko for kundens systemer.
Litra g · krav vedrørende underentreprise, herunder cybersikkerhedskrav til underleverandører.

Punkt 5.1.6 tilføjer, at kunden med planlagte mellemrum skal overvåge og evaluere ændringer i leverandørernes cybersikkerhedspraksis. Et testpunkt i aftalen giver kunden et fast sted at hente det. → Ret til revision i aftalen

Seks spørgsmål, aftalen kan svare på

Hvem tester · om I lader en uafhængig tester teste jeres platform, om kunden selv må teste, og på hvilke vilkår. → Når kunden vil teste MSP’ens systemer
Hvad testes · den fælles platform, kundens eget miljø eller begge. Kundens miljø kræver kundens tilladelse.
Hvornår · om testen følger en fast plan, sker efter væsentlige ændringer, eller begge dele. Aftal en ramme, der passer til risikoen, frem for et tal, ingen af jer kan begrunde.
Hvem betaler · om test af den fælles platform indgår i jeres ydelse, og hvem der bærer udgiften og jeres tidsforbrug, hvis kunden selv vil teste eller ønsker mere. Omfanget afhænger af platformens størrelse og antallet af dele, der skal med. → pris og tilbud
Hvem får hvad · om kunden får et resumé, en erklæring eller hele rapporten, og under hvilken fortrolighed. → Samme rapport til flere kunder
Hvad sker med fund · hvornår kunden hører om fund, der berører kunden, og hvordan rettelser følges op.

Når aftalen er en standard for alle kunder

Har I en standardaftale med kundespecifikke bilag, passer den opbygning godt til test. Standarden kan beskrive testen af den fælles platform, som alle kunder får dokumentation for. Bilaget kan beskrive, hvad der gælder for den enkelte kundes miljø, og om kunden har særlige krav.

Pas på med at give én kunde en ret, der i praksis gælder alle. Får en kunde ret til selv at teste den fælles platform, kan testen påvirke de andre. Skriv derfor, at kundens egen test af fælles dele kun sker efter aftale med jer og med hensyn til andre kunder. → MSP’ens kunder kræver hver deres test

Når aftalerne allerede er underskrevet

Har I allerede aftaler, der løber, skal kundens krav passes ind i dem, og I skal ikke nødvendigvis skrive en ny aftale fra bunden. Et krav fra en NIS2-kunde kan komme som et tillæg, et nyt sikkerhedsbilag eller et spørgeskema, der skal besvares, før aftalen forlænges.

Læs først, hvad den gældende aftale siger om revision, sikkerhed og fortrolighed. Måske dækker den allerede en del af kundens ønske. Svar derefter på det, der mangler, med de samme seks spørgsmål. Er kundens forslag skrevet til en anden type leverandør, så foreslå jeres egen formulering i stedet for at acceptere en tekst, der ikke passer til en fælles platform.

Hold styr på, hvad I har lovet hvem. Har en kunde fået ret til hele rapporten, og en anden kun et resumé, skal det stå et sted, hvor alle i jeres organisation kan finde det, når rapporten skal udleveres. → Resumé, erklæring eller rapport

Et tænkt eksempel

En driftsleverandør får krav fra tre NIS2-kunder om at få testdokumentation hvert år. Leverandøren skriver et nyt afsnit i sin standardaftale: den fælles platform testes af en uafhængig tester efter en plan, som leverandøren fastlægger ud fra sin risikovurdering og ved væsentlige ændringer. Alle kunder får et resumé af den del, der vedrører dem. Kunder, der ønsker test af eget miljø, kan bestille det som en tilkøbt ydelse. Fund, der rammer en kunde, meldes efter de samme regler som andre sikkerhedsforhold.

Det skal I lade være med

At love test med et fast interval uden at kunne begrunde det · rammen bør følge risikoen.
At give kunden ret til fuld rapport om den fælles platform · den rummer forhold om andre kunder.
At lade spørgsmålet om betaling stå åbent · det bliver en tvist, når den første kunde vil teste.
At glemme jeres egne underleverandører · et løfte om test kan kræve deres accept.
At skrive ret til at teste uden afgrænsning · både tidspunkt, omfang og stop skal aftales.

Hvad kan og ikke kan konkluderes

Et testpunkt i serviceaftalen kan gøre det klart, hvad kunderne kan forvente, og gøre svarene ensartede. Det sikrer ikke, at aftalen opfylder en bestemt kundes krav, eller at testen er tilstrækkelig. Det er kundens vurdering ud fra kundens risiko, og en jurist bør se på ordlyden.

Tjekliste til testpunkterne

☐ Står det, hvem der tester den fælles platform, og hvem der tester kundens miljø?
☐ Er tidspunkter og anledninger til test beskrevet?
☐ Er det klart, hvem der betaler for kundens egen test?
☐ Står det, hvad kunden får at se, og under hvilken fortrolighed?
☐ Er fund og opfølgning beskrevet?
☐ Har jeres underleverandører accepteret det, I lover?