Kunden beder om en NIS2‑erklæring fra revisor: hvad penetrationstesten kan bidrage med

Nogle NIS2-kunder nøjes ikke med en testrapport eller et svar på et spørgeskema. De beder om en NIS2-erklæring fra en revisor, udarbejdet efter standarden ISAE 3000. For en leverandør, der allerede har fået lavet en penetrationstest, rejser det et naturligt spørgsmål: kan testen bruges, eller skal noget helt andet til?

Svaret er, at de to dokumenter svarer på forskellige spørgsmål, men at testen kan være en del af grundlaget for erklæringen. Siden handler om testens plads. Selve erklæringen, kontrollerne bag den og revisors arbejde er en sag mellem jer og jeres revisor. Teksten er ikke juridisk rådgivning.

Hvad en NIS2-erklæring er

ISAE 3000 er den internationale standard for erklæringer med sikkerhed om andet end historiske regnskabstal. I den danske oversættelse hedder den “Andre erklæringer med sikkerhed end revision eller review af historiske finansielle oplysninger”. Revisorernes brancheorganisation, FSR, har udgivet en skabelon til NIS2-erklæringer om serviceleverandører, senest opdateret i december 2025.

I skabelonen giver revisor en konklusion med begrænset sikkerhed om leverandørens foranstaltninger til styring af risici. Erklæringen bygger på en beskrivelse fra leverandøren og en række kontrolmål, og revisor vurderer, om kontrollerne har været operationelt effektive i en periode. Skabelonen består af fire dele: en udtalelse fra leverandøren, revisors erklæring, leverandørens beskrivelse og til sidst kontrolmålene med revisors handlinger og resultatet af dem. Der er ti kontrolmål, som følger de ti foranstaltninger i NIS 2-lovens § 6, fra politikker for risikoanalyse til multifaktorlogin. → NIS 2-lovens § 6

Kræver loven en erklæring?

Nej. Styrelsen for Samfundssikkerhed skriver i sin vejledning om lovens anvendelsesområde, afsnit 8, at det ikke betyder, at en NIS2-enhed skal kræve fx en særlig certificering eller revisionserklæring af sine leverandører. Kunden skal vurdere den risiko, leverancen udgør, og kan derefter stille forholdsmæssige krav.

En erklæring er altså kundens valg, og den bliver jeres forpligtelse, når den står i aftalen. Står den ikke i aftalen endnu, kan I spørge, om kunden kan bruge noget andet, fx en testrapport, et resumé eller en erklæring fra testeren. Det afhænger af, hvad kunden skal kunne vise sin myndighed. → Grænser for kundens krav

Erklæring og testrapport er to forskellige ting

En penetrationstest er en teknisk afprøvning. En tester forsøger på et bestemt tidspunkt at finde og udnytte svagheder i en afgrænset del af leverancen, og rapporten beskriver, hvad der blev fundet. En NIS2-erklæring er en udtalelse fra en revisor om jeres kontroller over en periode. Den siger noget om, hvorvidt I har gjort det, I har beskrevet, ikke om, hvor modstandsdygtige systemerne er over for et angreb.

Udsteder · testrapporten kommer fra testeren, erklæringen fra en revisor.
Genstand · testen afprøver systemer, erklæringen vurderer kontroller.
Tid · testen viser et tidspunkt, erklæringen dækker en periode.
Grænse · skabelonen siger selv, at erklæringen ikke omfatter en vurdering af leverandørens generelle efterlevelse af NIS2-direktivet.

Hvor testen passer ind

Testen passer bedst ind i kontrolmålet om at vurdere, om foranstaltningerne er effektive. FSR-skabelonen nævner her risikobaserede tekniske test og giver scanninger og penetrationstest som eksempler. Som revisionshandling nævner skabelonen, at revisor inspicerer, at der er foretaget dokumenteret periodisk test af væsentlig infrastruktur og applikationer, fx sårbarhedsscanninger og penetrationstest. Eksemplerne er vejledende, og jeres revisor fastlægger selv sine handlinger. → Effektivitet af foranstaltninger

Revisors handlinger i skabelonen er at forespørge og inspicere. Revisor tester altså ikke selv systemerne efter skabelonen, men ser på dokumentationen for, at testen er sket, og hvad I gjorde ved fundene. Testrapporten, listen over fund og status på rettelserne bliver dermed en del af revisors grundlag. → Status på rettelser

Når erklæringen og testen dækker forskellige dele

Erklæringen handler om de tjenester, I leverer til NIS2-kunder, og om de kontroller, der omgiver dem. Testen dækker den del af leverancen, I har afgrænset. De to behøver ikke at være ens, men de bør passe sammen. Dækker erklæringen en hostingtjeneste, og dækker testen kun en kundeportal, kan revisor spørge, hvordan resten af tjenesten er afprøvet.

Afgræns derfor testen med erklæringens beskrivelse i hånden. Det er ikke ensbetydende med, at alt skal testes hvert år. Et testprogram, hvor dele af tjenesten testes i skiftende år efter en dokumenteret plan, kan også vise, at I vurderer effektiviteten systematisk. Det vigtige er, at planen og begrundelsen står skrevet, så både revisor og kunde kan følge den. → Et testprogram over flere år

Sådan gør I testen brugbar for revisor

Test i erklæringsperioden. En test, der ligger før perioden, kan ikke vise, at kontrollen har fungeret i perioden. Aftal derfor tidspunktet med revisor, før I bestiller testen, så den falder inden for den periode, erklæringen skal dække.

Sørg for, at dokumentationen viser testens type, omfang, tidspunkt og resultat, og at hvert fund har en vurdering og en status. Det er de samme oplysninger, kunden har brug for, og det er dem, en revisor kan inspicere. Beskriv også, hvordan testen hænger sammen med jeres egen procedure for at vurdere effektivitet, så revisor kan se, at testen er en del af en fast praksis og ikke en enkeltstående opgave. → Fire oplysninger om testen

Et tænkt eksempel

En hostingleverandør får et krav fra en sundhedskunde om en årlig NIS2-erklæring efter ISAE 3000. Leverandøren har hidtil sendt et resumé af sin årlige penetrationstest. Sammen med revisor aftaler leverandøren en erklæringsperiode på tolv måneder og flytter næste test, så den ligger midt i perioden.

Revisor inspicerer testrapporten, fundlisten og dokumentationen for rettelserne under kontrolmålet om effektivitet. Fundlisten viser to fund, der blev rettet inden for den frist, leverandøren selv havde sat, og revisor kan se datoerne for hver rettelse og for den efterfølgende kontrol. Kunden får erklæringen og fortsat resuméet af testen, fordi erklæringen ikke beskriver, hvad testen fandt.

Det skal I lade være med

At sende testrapporten, når kunden har bedt om en revisorerklæring · de svarer på forskellige spørgsmål.
At tro, at loven kræver erklæringen · det er kundens krav, ikke lovens.
At teste uden for erklæringsperioden · så kan testen ikke bruges som grundlag.
At lade fundene ligge · revisor ser også på, hvad der skete med dem.
At kalde testerens erklæring for en NIS2-erklæring · ordet bruges om revisors erklæring.

Hvad kan og ikke kan konkluderes

En penetrationstest kan dokumentere, at I afprøver jeres foranstaltninger, og den kan indgå i revisors grundlag for en NIS2-erklæring. Den kan ikke erstatte erklæringen, og erklæringen kan ikke erstatte testen, hvis kunden vil vide, hvordan systemerne holder. Ingen af dem viser, at I eller kunden overholder NIS2.