Oplysninger om testleverandøren i dokumentationen: hvad kunden kan spørge om

Et testresultat uden afsender er svært at bruge for en kunde, der selv skal kunne forklare sin leverandørstyring. Derfor kan NIS2-kunder spørge, hvem der testede, hvor uafhængig testeren var af jer, og hvornår testen fandt sted. Svaret hviler på det, kunden selv skal dokumentere om sine leverandører, og på den måde forordning (EU) 2024/2690 beskriver sikkerhedstest: efter en dokumenteret metode og med type, omfang, tid og resultater skrevet ned.

Kort sagt: navn, relation til jer, periode og en ansvarlig kontakt kan dække kundens spørgsmål. Teksten er ikke juridisk rådgivning.

Hvorfor kunden overhovedet spørger

En kunde omfattet af NIS 2-loven skal efter § 6, stk. 1, nr. 4, have foranstaltninger for forsyningskædesikkerhed. I praksis betyder det, at kunden skal kunne vurdere de oplysninger, I sender, og ikke kun gemme dem. Et resultat fra en ukendt afsender kan ikke vurderes.

Bilaget til forordning 2024/2690 gælder direkte for bestemte digitale udbydere, fx cloud, datacentre og administrerede tjenester, men andre kunder kan bruge det som model. Punkt 6.5.2, litra b, taler om test efter en dokumenteret testmetode. Når kunden ved, hvem der stod for testen, kan kunden også spørge til metoden og få et svar, der hænger sammen. → Dokumenteret testmetode

De oplysninger, der næsten altid hører med

En kort blok øverst i dokumentationen kan svare på det meste:

Testleverandørens navn · firma eller afdeling, der udførte testen.
Relation til jer · intern funktion, jeres driftsleverandør eller en ekstern part uden anden opgave hos jer.
Testperiode · første og sidste testdag, ikke kun rapportens dato.
Ansvarlig for testen · en rolle eller en navngiven ansvarlig, som kunden kan stille spørgsmål til via jer.
Metodegrundlag · en henvisning til den metode eller standard, testen fulgte.
Rapportens version · så kunden kan se, hvilken udgave resuméet bygger på.

Mangler en af oplysningerne, kan det være den, kunden skriver tilbage om. Blokken bør ligne den, I bruger i resten af pakken, så kunden finder oplysningerne samme sted hvert år. → Type, omfang, tid og resultat

Uafhængighed skal beskrives, ikke påstås

Ordet uafhængig bruges forskelligt. For nogle kunder betyder det blot, at testeren ikke selv har bygget det, der testes. For andre betyder det en ekstern part uden andre opgaver hos jer. Skriv derfor relationen konkret i stedet for at sætte et mærkat på den.

Er det jeres driftsleverandør, der har testet, så skriv det, og skriv, om de testede systemer er nogle, driftsleverandøren selv vedligeholder. Kunden kan så selv vurdere, om det er godt nok til formålet. Det samme gælder, hvis testeren har været med til at rådgive om opsætningen af de systemer, der blev testet. Den slags forbindelser er ikke nødvendigvis et problem, men de skal fremgå, så kunden ikke opdager dem senere og begynder at tvivle på resten af dokumentationen. Forordningens punkt 2.3 stiller krav om uafhængig gennemgang af en enheds samlede sikkerhedsarbejde. Det er ikke det samme som en penetrationstest, men nogle kunder låner tankegangen, når de spørger om testerens rolle. → Krav om test af en uafhængig tredjepart

Kompetencer på et niveau, kunden kan bruge

ENISA’s tekniske vejledning til forordningen er ikke bindende og gælder de samme digitale udbydere. Til uafhængige gennemgange nævner den som eksempel på dokumentation bevis for gennemgåernes kompetencer, fx erhvervserfaring og certificeringer. Nogle kunder overfører det til testeren.

En kort beskrivelse af testleverandørens erfaring og eventuelle certificeringer kan være nok. Kunden har ikke nødvendigvis brug for cv’er på enkeltpersoner, og den slags oplysninger skal I ikke sende videre uden at have aftalt det med testleverandøren. Har kunden særlige krav til, hvem der må teste, skal det afklares, før testen bestilles, ikke når dokumentationen afleveres.

Der er også oplysninger, I med god grund kan holde tilbage. Testleverandørens interne arbejdsgange, prisen på testen og aftalevilkårene mellem jer og testleverandøren har kunden ikke nødvendigvis brug for. Bliver I spurgt, så spørg tilbage, hvad oplysningen skal bruges til i kundens vurdering. Det kan vise sig, at kunden i virkeligheden vil vide noget andet, fx om testen var bestilt af jer selv eller af en tredje part. → Kundens krav til testeren

Når testen er delt mellem flere

Nogle leverancer testes af flere parter: en ekstern tester på webdelen, jeres egen funktion på konfigurationen og en hostingpartner på sin platform. Så skal hver del have sin egen afsender. Skriv, hvem der testede hvad, og i hvilken periode.

Det gør det også lettere for kunden at koble resultatet til sit leverandørregister. Bilagets punkt 5.2 beder enheden føre et register over sine direkte leverandører med kontaktpunkter. Står en testleverandør i jeres dokumentation, men ikke i kundens register, kan kunden spørge, om det er en underleverandør, kunden skulle kende til. → Leverandørregistret hos kunden

Et tænkt eksempel

En leverandør af et vagtplanlægningssystem til en region sender sit årlige testresumé. Regionens indkøbsfunktion svarer med tre spørgsmål: hvem testede, er testeren en del af leverandørens egen organisation, og hvornår blev der testet.

Leverandøren tilføjer en oplysningsblok øverst: navnet på den eksterne testleverandør, at testleverandøren ikke har andre opgaver hos leverandøren, testperioden over to uger og en rolle som kontakt for spørgsmål. Regionen noterer oplysningerne i sin leverandøropfølgning og stiller ikke flere spørgsmål. Næste år ligger blokken der fra starten, og den er opdateret med den nye testperiode, før resuméet sendes.

Det skal I lade være med

At kalde testeren uafhængig uden at forklare relationen · kunden kan læse ordet anderledes, end I mener det.
At angive rapportens dato som testdato · kunden skal kende testperioden.
At sende personoplysninger om testerne uden aftale · en rolle og en ansvarlig er som regel nok.
At udelade dele, en anden part testede · kunden skal kunne se, hvem der stod for hvad.
At skifte testleverandør uden at sige det · kunden sammenligner med sidste år.

Hvad kan og ikke kan konkluderes

Oplysninger om testleverandøren gør det muligt for kunden at vurdere, hvor resultatet kommer fra, og om testerens rolle passer til kundens krav. De siger intet om testens kvalitet i sig selv og kan ikke erstatte omfang, metode og resultater. Om testerens relation til jer er tilstrækkelig, afgør kunden ud fra sin egen risikovurdering og jeres aftale. → Hvad I skal bede testleverandøren om