Produktionsudstyr og OT: når kunden vil have test, men driften ikke tåler scanning

Leverandører af maskiner, styringer og automation får i stigende grad samme spørgsmål om test som leverandører af almindelig IT, selv om udstyret kører en produktion, der ikke må stoppe. Konflikten er reel: kunden skal kunne vurdere jeres udstyr, men en forkert tilrettelagt test kan give netop den driftsforstyrrelse, kunden vil undgå. Svaret hviler på Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025, som selv advarer om aktive scanninger i OT-miljøer.

Kort sagt skal test af produktionsudstyr tilrettelægges, så driften er beskyttet, og det kan betyde, at noget af afprøvningen sker på andre måder end ved aktiv test på det kørende anlæg. Det er et legitimt svar til kunden, når det er beskrevet og begrundet. Det vigtige er, at kunden kan se, hvad der er afprøvet på hvilken måde, og hvorfor resten er håndteret anderledes. Et svar, der blot afviser test af hensyn til driften, efterlader kunden uden noget at vurdere.

Hvad vejledningen siger

Styrelsens vejledning skriver i afsnit 5.b om håndtering af sårbarheder, at aktive scanninger af OT-miljøer kan medføre forstyrrelser eller nedetid. Som alternativ nævner den passive overvågningsmetoder, fx overvågning og analyse af netværkstrafik, understøttet af regelmæssige vurderinger af systemernes konfiguration. Samme advarsel står i afsnit 6.b ved sårbarhedsscanninger.

Vejledningen er rettet til den omfattede enhed, altså jeres kunde. Den viser, at kundens tilsyn selv forventer, at test af OT tilrettelægges anderledes. Det giver jer et grundlag for at foreslå en anden fremgangsmåde end den, kundens skabelon måske lægger op til. → Sårbarhedsscanning eller penetrationstest

Hvorfor kunden spørger jer

Vejledningens eksempel om forsyningskæden i afsnit 4 handler om en virksomhed med automatiseret produktion. Det spørger bl.a., om leverandører af produktionsudstyr og automation er vurderet sikkerhedsmæssigt, særligt for systemer med lang levetid, hvor firmware sjældent opdateres, og hvordan det sikres, at leverandører, der opdaterer produktionssystemer, ikke utilsigtet bringer sårbarheder ind.

Det er de spørgsmål, I kan forvente. Kunden er optaget af jeres udstyr, jeres adgang til det og jeres måde at opdatere det på. En penetrationstest kan besvare en del af dem, men spørgsmålet om lang levetid og sjældne opdateringer handler også om jeres plan for vedligeholdelse af udstyret: hvor længe I leverer sikkerhedsrettelser, og hvordan kunden får besked om sårbarheder i ældre versioner. Den del hører hjemme i jeres svar, selv om den ikke kan testes. → Fjernovervågning af anlæg

Kundens sektor afgør reglerne

Ikke alle kunder med produktionsanlæg er under NIS 2-loven. Lovens § 1, stk. 2, undtager bl.a. enheder omfattet af loven om styrket beredskab i energisektoren. Leverer I styringer til et energiselskab, kan kravet derfor bygge på energiloven og ikke på NIS 2-loven. Fremstillingsvirksomheder og andre sektorer med anlæg står derimod i lovens bilag og har hver deres kompetente myndighed. Spørg, hvilke regler kravet bygger på, før I henviser til en bestemt vejledning. → Leverandør til energisektoren

Hvad der kan afprøves, og hvordan

En test, der tager hensyn til driften, kan fordeles på flere spor:

Grænsen mod anlægget · jeres fjernadgang, kundens net mellem kontor og produktion og de forbindelser, der fører ind til udstyret.
Et testmiljø · en kopi af styringen eller et tilsvarende udstyr, der ikke kører produktion, hvor afprøvningen kan gå længere.
Konfigurationen · en gennemgang af opsætning og versioner af udstyret uden aktiv test på det kørende anlæg.
Opdateringsvejen · hvordan opdateringer kommer fra jer til udstyret, og hvem der godkender dem.
Et planlagt stop · hvis noget skal afprøves på selve anlægget, sker det, når produktionen står stille, og med en driftsansvarlig til stede.

Hvordan test af OT tilrettelægges teknisk, og hvilke hensyn IT- og driftsfolk skal tage, er beskrevet på penetration-test.dk. Her handler det om, hvad I kan tilbyde kunden, og hvordan I begrunder det. Skriv for hvert spor, hvad det dækker, så kunden kan sammenholde dem.

Hvem skal godkende

Ved test af produktionsudstyr kan der være flere parter end ved almindelig IT. Kunden ejer anlægget og produktionen. I ejer udstyret eller softwaren og kender dets grænser. Der kan være en integrator eller serviceleverandør, der har opsat det hele. Alle skal være enige om, hvad der må berøres, og hvem der kan stoppe testen. Serviceaftaler kan desuden indeholde vilkår om, hvem der må ændre i eller tilgå udstyret, og en test kan kræve, at den part, der har opsat anlægget, giver sit samtykke. Sikkerhedsfunktioner som nødstop og personbeskyttelse holdes uden for testen. → Afgrænsning mod kundens eget miljø

Et tænkt eksempel

En producent af pakkemaskiner til en fødevarevirksomhed får et krav om dokumentation for penetrationstest af maskinernes styring. Producenten svarer med en plan: testen afprøver fjernadgangen og forbindelsen fra kundens kontornet til produktionsnettet, mens styringen testes i producentens eget testmiljø med samme version. Konfigurationen på kundens maskiner gennemgås uden aktiv test. Planen henviser til styrelsens advarsel i afsnit 5.b. Kunden godkender planen og får resultaterne fra alle tre spor samlet.

Testmiljøet viser en svaghed i en ældre version af styringens webbrugerflade. Konfigurationsgennemgangen viser, at to af kundens maskiner stadig kører den version. Producenten beskriver i svaret, hvornår maskinerne kan opdateres under et planlagt stop, og hvad der kan gøres indtil da. Kunden kan dermed lægge opdateringen ind i sin egen plan for vedligeholdelse.

Det skal I lade være med

At lade en test køre aktivt på et kørende anlæg uden aftale · forstyrrelsen rammer kundens produktion.
At afvise kravet med henvisning til driften · beskriv, hvad der kan afprøves, og hvordan.
At teste uden en driftsansvarlig, der kender anlægget · kun den kan vurdere risikoen.
At glemme opdateringsvejen · den er et af de forhold, kunden spørger mest til.
At antage, at kunden er under NIS 2-loven · energikunder har deres egen lov.

Hvad kan og ikke kan konkluderes

En test i testmiljøet kan vise svagheder i udstyrets version, men ikke nødvendigvis i kundens opsætning. En konfigurationsgennemgang kan vise afvigelser fra den aftalte opsætning, men ikke hvad en angriber kan nå. Samlet kan sporene give kunden et rimeligt billede, men ingen af dem viser, at anlægget er sikkert, eller at kunden lever op til sine krav. Teksten er ikke juridisk rådgivning. → Leverandør til fremstillingsvirksomheder

Tjekliste før test af produktionsudstyr

☐ Har I afklaret, om kunden er under NIS 2-loven, energiloven eller andre regler?
☐ Er det beskrevet, hvilke dele der må testes aktivt, og hvilke der ikke må?
☐ Findes der et testmiljø med samme version som hos kunden?
☐ Er kunden, integratoren og den driftsansvarlige enige om planen?
☐ Er nødstop og personbeskyttelse holdt uden for testen?
☐ Er opdateringsvejen og fjernadgangen med i omfanget?