En rådgivende ingeniør, en arkitekt eller et konsulenthus har ikke nødvendigvis en forbindelse ind i kundens drift. Det, en NIS2-kunde kan være bekymret for, er noget andet: at tegninger af anlæg, netplaner, adgangsveje og driftsdata ligger hos rådgiveren og hos de andre parter i projektet. Svaret hviler på kundens pligt til at styre både leverandører og oplysninger. Testen handler derfor om de steder, kundens oplysninger ligger og deles hos jer, og om hvem der ejer de fælles projektværktøjer.
Det er ikke det samme som en test af en løsning, I leverer. Teksten er ikke juridisk rådgivning.
Det, kunden er bekymret for
Oplysninger om, hvordan et vandværk, en transformerstation eller et hospital er bygget og forbundet, kan bruges til at planlægge et angreb, fysisk eller digitalt. Kunden har ikke fuld kontrol over dem, når de er sendt til en rådgiver. Oplysningerne kan også bevæge sig videre, fra rådgiveren til underrådgivere, entreprenører og leverandører af udstyr, og de kan ligge i flere år efter, at projektet er afsluttet. Det er den spredning, kunden spørger til, når brevet om NIS2 når en rådgiver.
Efter NIS 2-lovens § 6, stk. 1, skal kundens foranstaltninger omfatte sikkerheden i forholdet til direkte leverandører (nr. 4) og forvaltning af aktiver (nr. 9). Oplysninger hos en rådgiver falder ind under begge. For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, siger bilagets punkt 12.1, at aktiver, herunder oplysninger, skal klassificeres efter det beskyttelsesniveau, de kræver. Punkt 12.2.2 kræver regler for hele aktivets livscyklus, også opbevaring, transport og bortskaffelse.
Er kunden identificeret som kritisk enhed, nævner CER-lovens § 6, stk. 1, nr. 5, også adgangsrettigheder til følsomme oplysninger. → CER-loven og leverandøren
Hvor kundens oplysninger ligger hos jer
Før noget kan testes, skal I vide, hvor oplysningerne findes. For et projekt kan det være:
- Projektrummet · den samarbejdstjeneste, hvor tegninger og modeller deles med de andre parter.
- Fildeling og links · mapper og links, der er sendt til entreprenører eller underrådgivere.
- Mail · korrespondance med vedhæftede tegninger og notater om anlægget.
- Arkivet · afsluttede projekter, der stadig ligger hos jer.
- Medarbejdernes enheder · bærbare computere og telefoner, hvor filer er hentet ned.
- Underrådgivere · de parter, I selv har givet adgang til kundens materiale.
Skriv for hvert sted, hvilke projekter for kunden der ligger der, hvem der har adgang, og hvem der har oprettet adgangen. Listen er grundlaget for at afgrænse testen, og den viser kunden, at I ved, hvor materialet er.
Arkivet bliver let overset. Et afsluttet projekt kan indeholde netop de oplysninger, kunden helst ikke vil have liggende ude. → Mail og filudveksling med kunden
Hvem ejer projektværktøjet
Hvad der kan testes, afhænger af, hvem der ejer stedet:
- Kundens projektrum · kunden ejer og styrer det, og I er brugere. Jeres medarbejderes konti og login er jeres ansvar, resten er kundens.
- Jeres projektrum · I ejer opsætningen og kan lade den teste eller gennemgå.
- En tredjeparts projektrum · fx bygherrens rådgiver eller hovedentreprenøren ejer det. Hverken I eller kunden kan teste det uden ejerens tilladelse, og kunden må tage spørgsmålet op med ejeren.
Selve tjenesten drives i alle tre tilfælde af en udbyder, hvis egen dokumentation svarer for driften. Testen kan kun dække den opsætning, I eller kunden har lavet. → Noget, I ikke ejer · → Cloududbyderens dokumentation
Hvad en test kan dække
For en rådgiver handler testen om adgang og deling, ikke om en løsning, kunden logger ind på. En test eller gennemgang kan belyse:
- Hvem der har adgang · om tidligere medarbejdere, afsluttede underrådgivere og gæster stadig har adgang.
- Delte links · om links til mapper kan åbnes af andre end modtagerne.
- Login · om projektrum, mail og arkiv kræver mere end en adgangskode.
- Rettigheder · om alle i projektet kan se alt, eller om adgangen følger opgaven.
- Arkivets adgang · hvem der kan søge i afsluttede projekter.
Noget af det er en penetrationstest, og noget af det er en gennemgang af opsætning og brugerlister. Begge dele kan dokumenteres over for kunden, når det står, hvad der blev gjort. Kunden har mere at bruge, når resuméet skelner mellem det, der blev afprøvet, og det, der blev gennemgået på papir eller i brugerlisterne, og når det nævner, hvilke projekter og hvilket arkiv der var med. → Test af adgangskontrol
Deling med andre parter i projektet
Kundens oplysninger går videre fra jer til underrådgivere og entreprenører. Styrelsen for Samfundssikkerheds vejledning om foranstaltninger nævner underleverandører og leverandørens forpligtelser ved aftalens ophør, fx at udlevere og bortskaffe data, som mulige punkter i kundens aftaler. Forordningens punkt 5.1.4, litra g og h, har tilsvarende kontraktpunkter for de digitale udbydere.
For jer betyder det, at kunden kan spørge, hvem I har delt med, på hvilke vilkår, og hvad der sker med materialet, når projektet slutter. Krav, I selv sender videre, bør passe til det, den anden part får adgang til. → Krav til egne underleverandører
Et tænkt eksempel
Et rådgivende ingeniørfirma projekterer en ombygning for et spildevandsselskab, der er omfattet af NIS 2-loven. Tegninger af renseanlægget og styringens netplan ligger i et projektrum, som hovedentreprenøren ejer, og i firmaets eget arkiv. Selskabet spørger, hvordan oplysningerne er beskyttet.
Firmaet gennemgår sine egne konti i projektrummet, får testet sit arkiv og sin mail og lukker adgangen for to underrådgivere, der var færdige. Om selve projektrummet henviser firmaet til hovedentreprenøren. Firmaet aftaler samtidig med selskabet, at tegningerne slettes fra arkivet, når garantiperioden for ombygningen er udløbet. Selskabet får et resumé med omfang, fund og status.
Det skal I lade være med
- At svare, at I ikke har adgang til kundens drift · spørgsmålet gælder oplysningerne.
- At glemme arkivet · afsluttede projekter rummer de samme tegninger.
- At teste et projektrum, en anden part ejer · det kræver ejerens tilladelse.
- At lade underrådgivere beholde adgang efter opgaven · adgangen skal følge opgaven.
- At love, at kundens oplysninger er sikre alle steder · I kan kun svare for jeres egen del.
Hvad kan og ikke kan konkluderes
En test og en gennemgang kan vise, hvordan adgang og deling hos jer var sat op på testtidspunktet. De viser ikke, hvordan andre parter i projektet beskytter materialet, og de dækker ikke projektværktøjer, I ikke ejer.
Tjekliste til kundens oplysninger
- ☐ Ved I, hvor kundens tegninger og driftsdata ligger hos jer?
- ☐ Er det klart, hvem der ejer hvert projektrum?
- ☐ Er adgang for tidligere medarbejdere og underrådgivere fjernet?
- ☐ Indgår arkivet i testen eller gennemgangen?
- ☐ Er det aftalt, hvad der sker med materialet, når projektet slutter?
Kilder
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4 og 9.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra g og h, 12.1 og 12.2.2.
- Styrelsen for Samfundssikkerhed, vejledning om implementering af cybersikkerhedsforanstaltninger (juni 2025): afsnit 4 om forsyningskædesikkerhed, s. 29 og 30.
- CER-loven, lov nr. 433 af 6. maj 2025: § 6, stk. 1, nr. 5.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Noget, I ikke ejer · Freelancer og NIS2-krav
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
