Forholdsmæssige krav: hvorfor en lille leverandør ikke skal testes som en stor

En lille leverandør, der får samme testkrav som kundens største it-partner, kan med god grund spørge, om kravet står i forhold til det, der leveres. Svaret hviler på et princip, der går igen i både lov og vejledning: foranstaltningerne skal være passende og forholdsmæssige, og kravene til den enkelte leverandør bør stå i forhold til, hvad den konkrete leverance betyder for kundens sikkerhed.

Det er altså ikke jeres størrelse, der afgør kravet, men leverancens betydning. En lille leverandør med administratoradgang til kundens drift kan med rette få et større testkrav end en stor leverandør af en enkeltstående tjeneste uden adgang til noget følsomt.

Hvor princippet står

NIS 2-lovens § 6, stk. 1, siger, at væsentlige og vigtige enheder skal træffe passende og forholdsmæssige foranstaltninger for at styre risiciene for sikkerheden i deres net- og informationssystemer. Bestemmelsen gælder kundens egne foranstaltninger, herunder forsyningskædesikkerhed.

Styrelsen for Samfundssikkerheds vejledning om foranstaltninger går et skridt videre for leverandørerne. Afsnit 4 anbefaler en risikobaseret tilgang, hvor kravene til den enkelte leverandør er proportionale med den specifikke leverances betydning for kundens sikkerhed, netop for at undgå unødigt høje krav. Vejledningen om anvendelsesområdet siger tilsvarende, at kundens vurdering kan føre til forholdsmæssige krav. → Hvad en NIS2-kunde ikke kan forvente

Hvad der gør en leverance betydningsfuld

Når kunden vurderer jeres leverance, kan det være disse forhold, der vejer:

Adgang · har I adgang til kundens systemer, og med hvilke rettigheder?
Data · behandler eller opbevarer I kundens oplysninger, og hvor følsomme er de?
Afhængighed · stopper noget hos kunden, hvis jeres tjeneste ikke virker?
Udskiftelighed · kan kunden hurtigt finde en anden leverandør?
Forbindelser · er jeres løsning koblet direkte til kundens netværk eller anlæg?

En leverandør af kontormøbler svarer nej til det meste. En lille driftsleverandør, der passer kundens servere via fjernadgang, svarer ja til næsten alt. Det er derfor, størrelse alene ikke er et argument. Det modsatte gælder også: en stor leverandør kan have en leverance, der betyder meget lidt for netop denne kunde. → Kundens risikovurdering som grundlag

Hvad et forholdsmæssigt testkrav kan være

Forholdsmæssighed betyder ikke, at kravet forsvinder, men at det får en passende form. Et par eksempler på, hvordan det kan se ud:

Begrænset adgang og ingen følsomme data · et udfyldt spørgeskema og en beskrivelse af jeres opdateringsrutiner kan være nok.
En webløsning med kundens brugere · en afgrænset test af løsningen og de roller, kundens medarbejdere har.
Fjernadgang til kundens drift · en test af selve adgangsvejen og de konti, der bruges, eventuelt hyppigere end andre test.
Leverance til et produktionsanlæg · en forsigtig afprøvning, hvor driftshensyn vejer tungt, og hvor ikke alt kan scannes aktivt.

SAMSIK’s vejledning nævner både sårbarhedsscanninger og penetrationstest som eksempler på tekniske test. Kunden kan altså vælge en lettere testform, hvor risikoen er lav. → Sårbarhedsscanning eller penetrationstest

Tag samtalen med kunden

Et krav kan være et standardbilag, som kundens indkøb sender til alle leverandører. Det betyder ikke, at kunden har tænkt over, om kravet passer til jer. En kort henvendelse kan flytte kravet til noget rimeligt:

Beskriv leverancen · hvad I leverer, hvilken adgang I har, og hvilke data I ser.
Spørg til kundens klassificering · har kunden vurderet jer som kritisk eller som almindelig leverandør?
Foreslå et testomfang · knyttet til den del, der har betydning for kunden.
Tilbyd en hyppighed · der følger risikoen, fx test ved væsentlige ændringer frem for et fast interval uden begrundelse.
Bed om accept på skrift · så det smallere krav gælder fremover.

Henvis gerne til vejledningens princip, men lad samtalen handle om leverancen. Kunden skal kunne forklare sit tilsyn, hvorfor kravet til jer er rimeligt, og jeres beskrivelse kan hjælpe med det. → Kunden har klassificeret jer som kritisk leverandør

Når kravet allerede er skrevet under

Har I accepteret en aftale med et krav, der virker for stort, er det stadig aftalen, der gælder. Forholdsmæssighed er et princip for kundens vurdering, ikke en ret til at se bort fra en underskrevet forpligtelse. Tag spørgsmålet op ved næste fornyelse eller ved en ændring af leverancen, og brug den samme beskrivelse af adgang, data og afhængighed.

Indtil da kan I gøre kravet lettere at opfylde ved at afgrænse testen præcist til det, aftalen nævner, og ved at planlægge den, så den kan bruges over for flere kunder. Hvad omfanget betyder for udgiften, afhænger af systemerne og adgangen; se fx pris og tilbud. → Lille leverandør med få systemer

Et mindre krav giver også et mindre bevis

Der er en bagside ved at forhandle kravet ned. Et udfyldt spørgeskema eller en kort scanning af en enkelt webadresse siger mindre om leverancen end en afgrænset penetrationstest. Hvis kunden senere får en hændelse, der involverer jeres del, er det det mindre bevis, der ligger i kundens mappe.

Overvej derfor, om det smallere krav også er det, I selv vil stå inde for. En lille leverandør har ikke nødvendigvis en sikkerhedsafdeling, og en test kan være den eneste lejlighed, hvor nogen udefra ser på adgangen til kundernes systemer. Den viden kan være værd at have, uanset hvad kunden kræver.

Det rigtige niveau kan ligge et sted imellem: en test, der er smal i omfang, men grundig der, hvor kunden er afhængig af jer. Det er lettere at forsvare over for kunden end både det for store og det for lille krav, og det giver jer et resultat, der kan bruges over for de næste kunder med samme spørgsmål.

Det skal I lade være med

At bruge jeres størrelse som eneste argument · det er leverancens betydning, der tæller.
At undervurdere jeres adgang · fjernadgang og administratorrettigheder vejer tungt hos kunden.
At afvise test helt · foreslå en form, der passer til risikoen.
At glemme at få accepten på skrift · et mundtligt ja forsvinder ved næste leverandørgennemgang.
At se bort fra en underskrevet aftale · tag det op ved fornyelsen i stedet.

Hvad kan og ikke kan konkluderes

Lov og vejledning viser, at kravene til leverandører bør stå i forhold til leverancens betydning. De siger ikke, hvilket konkret testomfang der er forholdsmæssigt for netop jer. Det afhænger af kundens risikovurdering og af det, I aftaler. En lettere testform kan være rimelig, hvor risikoen er lav, men den dokumenterer også mindre. Teksten er ikke juridisk rådgivning.