Resumé, erklæring eller hel rapport, når kunden er under tilsyn

En kunde under NIS2-tilsyn spørger ikke kun, om I er testet. Kunden spørger, om det, I sender, kan bruges, hvis myndigheden beder om dokumentation. Det afgør, hvilken form der passer: et resumé, en erklæring fra testeren eller den fulde rapport. Valget hviler på, hvad tilsynet kan kræve af kunden efter NIS 2-lovens §§ 21 og 24, og på, at myndigheden fører tilsyn med kunden, ikke med jer.

Den generelle diskussion af rapport, erklæring og resumé til kunder, fx for softwarehuse, findes på pentestrapport.dk. Her handler det kun om valget, når kundens behov udspringer af NIS2 og tilsynet. Teksten er ikke juridisk rådgivning.

Hvad tilsynet kan bede kunden om

NIS 2-lovens § 21 giver den kompetente myndighed en række tilsynsforanstaltninger over for væsentlige enheder. Efter stk. 1, nr. 5 til 7, kan myndigheden kræve oplysninger, der er nødvendige for at vurdere enhedens foranstaltninger, adgang til data, dokumenter og oplysninger og dokumentation for gennemførelsen af cybersikkerhedspolitikker. Stk. 2 siger, at myndigheden skal angive formålet og præcisere, hvilke oplysninger der kræves, og i hvilken form.

For vigtige enheder er tilsynet reaktivt efter § 24, det vil sige efter indikationer på, at loven ikke overholdes, og med tilsvarende redskaber. Er kunden en vigtig enhed, er behovet for at kunne fremlægge noget hurtigt måske mindre, men det forsvinder ikke. → Væsentlige og vigtige enheder

Kunden skal altså kunne vise, hvordan kunden selv har vurderet og fulgt op på sine leverandører. Jeres dokumentation er en del af det, ikke det hele. Lovens tilsynsbestemmelser retter sig mod de omfattede enheder. Medmindre I selv er omfattet, er det derfor kunden og ikke jer, der står over for myndigheden.

Resuméet

Et resumé beskriver omfang, udeladelser, periode, testtype og overordnet resultat, eventuelt suppleret med en fundliste med status. Det er den form, kunden lettest kan lægge i sin leverandøropfølgning og fremlægge uden særlige vilkår.

Styrke · let at læse, let at dele, egnet til kundens register og ledelsens overblik.
Svaghed · det er jeres egen sammenfatning, og kunden kan ikke se, hvad den bygger på.

Resuméet passer, når kunden skal vise, at leverandøren er fulgt op, og ikke selv skal vurdere de enkelte fund. Det bliver stærkere, hvis det nævner, hvem der testede, og hvis fundlisten viser alvorlighed og status for hvert fund. Så kan kunden svare på opfølgende spørgsmål uden at skulle vende tilbage til jer hver gang.

Erklæringen

En erklæring er en kort bekræftelse fra testeren: at en test blev gennemført, hvornår, af hvad, og evt. at bestemte fund er kontrolleret som rettet. Den giver kunden et udsagn fra en anden end jer selv.

Styrke · uafhængigheden. Kunden kan vise, at oplysningen ikke kun kommer fra leverandøren.
Svaghed · den siger ikke nødvendigvis noget om, hvad der blev fundet, og den er kun så bred som testerens opgave.

Styrelsen for Samfundssikkerhed (SAMSIK) skriver i sin vejledning om anvendelsesområdet, afsnit 8, at en NIS2-kunde ikke skal kræve fx en særlig certificering eller revisionserklæring af sine leverandører. En erklæring kan altså være et godt supplement, men den er ikke et lovkrav, og den bør ikke stå alene, hvis kunden har brug for at kende fundene. → Kunden kræver test af en uafhængig tredjepart

Den fulde rapport

Den fulde rapport indeholder alle fund med detaljer, metode og tekniske oplysninger. Den er det mest fuldstændige grundlag, men også det mest følsomme dokument.

Styrke · kunden og evt. myndigheden kan se det hele.
Svaghed · den beskriver jeres løsning i detaljer og kan skade, hvis den kommer i forkerte hænder.

Den fulde rapport er ikke nødvendigvis skrevet til en myndighed. Den er skrevet til dem, der skal rette fundene, og den kan kræve forklaring for at blive læst rigtigt.

Har kunden en aftalt ret til audit eller til at modtage auditrapporter, kan den fulde rapport blive relevant. Gennemførelsesforordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere og kan bruges som model af andre, nævner den ret i bilagets punkt 5.1.4, litra e. Aftal vilkår for læsere, opbevaring og sletning, før rapporten sendes, eller tilbyd en gennemgang i stedet for en kopi. → Hvor meget skal kunden vide om omfanget?

Sådan vælger I sammen med kunden

Spørg kunden om tre ting, før I vælger form:

Hvad skal dokumentet bruges til · leverandørregister, risikovurdering, ledelsen eller et konkret tilsyn?
Har myndigheden bedt om noget bestemt · § 21, stk. 2, betyder, at myndigheden skal sige, hvad den vil have, og i hvilken form.
Hvad siger aftalen · har kunden ret til revision eller til at modtage rapporter?

Svaret kan være en kombination: et resumé med fundliste som standard, en erklæring som supplement og den fulde rapport kun, når et konkret behov kræver det. Bed kunden sende myndighedens konkrete anmodning videre, hvis den angår jer. → Kunden skal kunne vise tilsynet jeres testresultat

Et tænkt eksempel

En leverandør af et journalsystem til private klinikker får besked om, at en kunde under tilsyn skal fremlægge dokumentation for sin leverandørstyring. Kunden beder om den fulde rapport.

Leverandøren spørger, hvad myndigheden har bedt om. Det viser sig at være en oversigt over kritiske leverandører og den opfølgning, kunden har foretaget. Leverandøren sender et resumé, en fundliste med status og en erklæring fra testeren om periode og omfang. Den fulde rapport tilbydes gennemgået, hvis myndigheden ønsker det. Kunden fremlægger resuméet og erklæringen sammen med sin egen beskrivelse af, hvordan leverandøren er vurderet. Myndigheden spørger ikke efter mere, og rapporten bliver hos leverandøren. Havde myndigheden bedt om detaljer, lå gennemgangen klar som næste skridt.

Det skal I lade være med

At sende den fulde rapport, fordi ordet tilsyn bliver nævnt · find først ud af, hvad der er bedt om.
At lade en erklæring stå alene, når kunden skal kende fundene · den siger for lidt.
At kommunikere direkte med kundens myndighed uden aftale · tilsynet er med kunden.
At lave et resumé, der er pænere end fundlisten · de skal stemme overens.
At love, at dokumentet vil blive godkendt af tilsynet · det vurderer myndigheden.

Hvad kan og ikke kan konkluderes

Den rigtige form gør det lettere for kunden at bruge jeres testresultat over for tilsynet. Ingen af de tre former kan sikre, at myndigheden finder kundens leverandørstyring tilstrækkelig, for det er kundens samlede foranstaltninger, der vurderes. Jeres dokument er ét bidrag.