Red teaming som svar på et NIS2‑krav: hvornår det er mere, end kunden beder om

En leverandør, der får et NIS2-krav om sikkerhedstest, kan blive tilbudt eller selv overveje red teaming, fordi det lyder som det grundigste svar. Men red teaming besvarer et andet spørgsmål end det, kunder kan stille til en leverandør. Svaret hviler på, at hverken NIS2-direktivet eller NIS 2-loven kræver red teaming, mens de danske og europæiske vejledninger nævner det som én af flere testtyper.

Kort sagt er red teaming en øvelse, der afprøver, om en organisation opdager og reagerer på et realistisk angreb mod et mål. Det er relevant, når kunden vil vide, hvordan jeres forsvar fungerer som helhed. Vil kunden vide, om den leverance, kunden bruger, har svagheder, er en penetrationstest med et klart omfang som regel det mere præcise svar.

Hvor red teaming står i teksterne

NIS 2-loven og direktivet nævner ikke red teaming. § 6, stk. 1, nr. 6, i loven kræver politikker og procedurer til vurdering af foranstaltningernes effektivitet, men angiver ikke testtyper. → Det, NIS2 ikke siger

Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025 nævner i afsnit 6.b red team-tests som eksempel på tekniske test og beskriver dem som avancerede, målrettede angreb, der afprøver det samlede forsvar og evnen til at opdage. Listen er eksempler, og valget skal ifølge vejledningen bygge på en risikovurdering. → SAMSIK’s vejledning om tekniske test

ENISA’s tekniske vejledning fra juni 2025, som ikke er bindende, nævner red teaming blandt en række testtyper i vejledningen til punkt 6.5.2 i bilaget til gennemførelsesforordning 2024/2690 og anbefaler at vælge den eller de typer, der passer bedst til det, der skal afprøves. Forordningen selv gælder kun for bestemte digitale udbydere, fx cloud, datacentre og udbydere af administrerede tjenester. Vejledningen nævner også red team/blue team-øvelser som en måde at afprøve hændelseshåndteringen på. → ENISA’s vejledning om test

Hvad kunden kan spørge om

Kravene til en leverandør kan handle om leverancen: Har det system, kunden bruger, svagheder, og bliver de rettet? Det spørgsmål besvares bedst af en test med et aftalt omfang, der dækker leverancen bredt. Red teaming går i dybden ad én eller få veje mod et mål og siger derfor mindre om leverancens samlede tilstand.

Red teaming bliver relevant, når kundens spørgsmål ændrer sig:

Opdagelse og reaktion · kunden vil vide, om I opdager et angreb og handler på det. → Opdager I et angreb?
Mange kunder på én platform · I driver noget, som mange kunder er afhængige af, og kunden vil se, hvordan forsvaret holder samlet.
Modenhed · I har allerede haft flere almindelige test, og de grundlæggende fund er rettet.
Menneskelige og fysiske veje · kunden vil have afprøvet andet end teknik, fx social engineering eller fysisk adgang.

Hvis ingen af punkterne passer, er red teaming sandsynligvis mere, end kunden beder om.

Forholdsmæssighed

NIS2-kravene bygger på, at foranstaltningerne skal være passende og forholdsmæssige. En lille leverandør med én leverance skal ikke tilbyde en øvelse, der passer til en stor organisation, for at svare på et spørgsmål om et enkelt system. Omvendt kan en leverandør, hvis platform bærer mange kunders drift, have grund til at gå længere. → Forholdsmæssige krav

Hvis I alligevel vælger red teaming, så forklar kunden, hvad øvelsen dækker, og hvad den ikke dækker. En rapport fra en øvelse, der nåede sit mål ad én vej, siger ikke, at de andre veje er lukkede.

Hvad red teaming kræver af jer

En red team-øvelse kræver mere forberedelse end en penetrationstest. Der skal være en lille gruppe, der kender til øvelsen, kan stoppe den og kan skelne den fra en reel hændelse. Medarbejdere, der indgår uden at vide det, skal være dækket af en beslutning fra ledelsen. Kunden skal vide det, hvis kundens systemer eller medarbejdere kan blive berørt. Hvordan sådan en øvelse tilrettelægges og læses, er beskrevet på red-teaming.dk.

Finansielle kunder er et særtilfælde. Finansielle enheder under DORA kan være omfattet af trusselsbaseret penetrationstest efter DORA’s egne regler, og en leverandør kan blive inddraget i en sådan test hos kunden. Det er en anden ramme end NIS2. → Leverandør til finanssektoren

Sådan beskriver I valget over for kunden

Kunden har brug for at kunne forklare sit eget valg over for sin ledelse og eventuelt sit tilsyn. Uanset om I vælger en penetrationstest eller red teaming, bør svaret til kunden derfor indeholde det spørgsmål, testen skulle besvare, den valgte testtype og begrundelsen for den, omfanget og det, der lå uden for, samt hvornår næste afprøvning er planlagt.

Begrundelsen er det vigtigste. Skriver I, at red teaming er fravalgt, fordi kundens spørgsmål handler om leverancens svagheder, og at opdagelse og reaktion afprøves på anden måde, kan kunden se, at valget er gennemtænkt. Det samme gælder den modsatte vej, hvis I vælger øvelsen.

Et tænkt eksempel

En leverandør af et lagerstyringssystem bliver af en kunde i fremstillingssektoren bedt om dokumentation for test med henvisning til NIS2. En konsulent foreslår red teaming. Leverandøren spørger kunden, hvad kunden vil vide. Svaret er, om systemet og leverandørens fjernadgang til kundens fabrik har svagheder. Leverandøren vælger en penetrationstest med netop det omfang og noterer red teaming som en mulighed i testplanen for de kommende år, hvis kunden senere vil afprøve opdagelse og reaktion.

Det skal I lade være med

At vælge red teaming, fordi det lyder grundigst · vælg efter kundens spørgsmål.
At præsentere en red team-rapport som en gennemgang af hele leverancen · den dækker de veje, øvelsen tog.
At starte med red teaming uden tidligere test · øvelsen kan så ende med at vise forhold, en almindelig test også ville have fundet.
At inddrage kundens medarbejdere eller lokaler uden kundens godkendelse · det er kundens beslutning.
At kalde en penetrationstest for red teaming · navnet ændrer ikke, hvad der er afprøvet.

Hvad kan og ikke kan konkluderes

Red teaming kan vise, om et bestemt mål kunne nås, og om angrebet blev opdaget og håndteret. Det kan ikke vise, at leverancen er fri for andre svagheder, eller at kunden lever op til sine krav. Teksten er ikke juridisk rådgivning.

Tjekliste, før I vælger red teaming

☐ Har I spurgt kunden, hvad kunden vil vide?
☐ Handler spørgsmålet om opdagelse og reaktion eller om leverancens svagheder?
☐ Har I haft almindelige test, og er de grundlæggende fund rettet?
☐ Er der ledelsesbeslutning og en gruppe, der kan stoppe øvelsen?
☐ Er kunden orienteret, hvis kundens systemer eller medarbejdere kan blive berørt?
☐ Er det beskrevet, hvad øvelsen dækker, og hvad den ikke dækker?