Samme rapport til flere kunder: afgrænsning og versioner

En leverandør med flere NIS2-kunder får hurtigt brug for at sende samme testresultat til mange modtagere. Det sparer arbejde, men det skaber to risici: at en kunde får oplysninger om en anden kunde, og at kunderne ender med udgaver, der siger forskellige ting om samme test. Svaret er én kildeudgave, der kun beskriver det fælles, et kort kundeblad pr. kunde og en fast styring af, hvilken version hver kunde har fået.

Hvordan I planlægger én test til flere kunder, er et særskilt spørgsmål. Her handler det om selve dokumentet, når testen er gennemført. Teksten er ikke juridisk rådgivning.

Hvorfor kunderne læser det samme dokument forskelligt

Hver NIS2-kunde læser jeres testresultat ud fra sin egen situation. Gennemførelsesforordning (EU) 2024/2690, som gælder direkte for bestemte digitale udbydere og bruges som model af andre, beder i bilagets punkt 5.2 kunden føre et register over, hvilke produkter, tjenester og processer hver leverandør leverer. Punkt 6.5.2, litra b, knytter test til de komponenter, kundens risikoanalyse har udpeget som relevante.

To kunder af samme platform kan derfor have forskellige spørgsmål til den samme rapport. Den ene bruger kun kerneproduktet; den anden har en integration og et ekstra modul. Begge skal kunne se, hvad der dækker netop deres brug, uden at læse om den andens. → Flere NIS2-kunder med forskellige krav

Kildeudgaven: kun det fælles

Kildeudgaven er det dokument, alle andre udgaver bygger på. Den beskriver testen af det, der er fælles for alle kunder: platformen, de fælles adgangsveje, de fælles administrationsfunktioner. Den skal kunne læses af enhver kunde, og den må derfor ikke indeholde:

Kundenavne · heller ikke i testdata, skærmbilleder eller eksempler.
Kundespecifik opsætning · fx en særlig integration eller en kundes egne brugerroller.
Fund, der kun vedrører én kunde · de hører til det kundespecifikke materiale.
Interne oplysninger, ingen kunde har brug for · fx detaljer om jeres udviklingsmiljø, der ikke indgår i leverancen.

Bed testeren om at skrive rapporten på den måde fra starten. Det er langt lettere end at fjerne kundespecifikke oplysninger bagefter, hvor der er risiko for, at noget overses. → Hvad I skal bede testleverandøren om

Kundebladet: det, der gælder for den enkelte

Ved siden af kildeudgaven får hver kunde et kort kundeblad. Det siger, hvilke dele af kildeudgaven der er relevante for kunden, om der er testet kundespecifikke dele og med hvilket resultat, og hvilke fund der har betydning for netop kunden. Kundebladet bruger de betegnelser, kunden selv bruger om leverancen.

Kundebladet er også stedet for status på fund, der kun vedrører kunden, og for en henvisning til kundens egne aftaler, fx en frist for rettelser. Det holder kildeudgaven ens for alle og gør det muligt at svare hver kunde præcist. Kundebladet kan være på en enkelt side. Det vigtigste er, at kunden kan se, hvilke dele af testen der svarer til de linjer, kunden har om jer i sit leverandørregister. → Kundespecifik opsætning eller fælles platform

Versioner, der kan følges

Når samme dokument findes i flere udgaver, skal det være tydeligt, hvilken der er hvilken. Giv kildeudgaven et versionsnummer og en dato, og lad hvert kundeblad henvise til den version, det bygger på. Rettes kildeudgaven, fx fordi en status ændrer sig eller en formulering var forkert, skal alle kunder have den nye version, ikke kun den, der opdagede fejlen.

Før en enkel liste over, hvilken version hver kunde har modtaget, hvornår og i hvilken form. Listen gør det muligt at svare, hvis en kunde spørger, om den har den nyeste udgave, og den viser, hvem der skal have besked, hvis noget ændres. Et fund, der rammer alle kunder, kan kræve besked hurtigere end næste version. → Fund, der også rammer andre kunder

Udgaver må ikke sige forskellige ting

Det er fristende at formulere en kundeversion lidt mildere til en kunde, der er særligt opmærksom på et bestemt emne. Lad være. Kunderne kan sammenligne, fx hvis to kunder bruger samme rådgiver eller deler erfaringer i et branchenetværk, og hvis udgaverne siger forskellige ting om samme fund, er det jeres troværdighed, der lider.

Kundebladet må gerne udelade det, der ikke vedrører kunden, men det må ikke ændre vurderingen af et fælles fund. Er en kunde uenig i en vurdering, så skriv kundens vurdering i kundebladet ved siden af testerens, i stedet for at ændre teksten. Om softwarehusets kundeversion af en pentestrapport mere generelt, se pentestrapport.dk.

Et tænkt eksempel

En leverandør af et vagtplanssystem har tre kunder, der alle har stillet krav med henvisning til NIS2: et sygehus, en kommune og et privat vagtselskab, som selv leverer til en NIS2-kunde. Den årlige test omfatter platformen og et integrationsmodul, som kun sygehuset bruger.

Leverandøren laver en kildeudgave om platformen uden kundenavne og tre kundeblade. Sygehusets kundeblad beskriver også integrationsmodulet og to fund i det. Kommunens og vagtselskabets kundeblade siger, at modulet ikke indgår i deres leverance. Da status på et fælles fund ændres en måned senere, udsendes version 1.1 af kildeudgaven til alle tre, og listen over udsendte versioner opdateres. Kundebladene skal ikke laves om, fordi de henviser til kildeudgaven og blot får en ny versionshenvisning. Sygehuset får desuden en særskilt status på de to fund i integrationsmodulet.

Det skal I lade være med

At sende en kundes kundeblad til en anden · kontrollér modtageren, før noget sendes.
At redigere kildeudgaven pr. kunde · hold den ens, og læg forskellene i kundebladet.
At give en kunde en mildere udgave · vurderingen af et fælles fund skal være den samme.
At glemme at sende rettelser til alle · en rettet version går til alle, der har den gamle.
At bruge kundenavne i testdata · de dukker op i rapporten.

Hvad kan og ikke kan konkluderes

En kildeudgave med kundeblade og en versionsliste gør det muligt at bruge samme test over for flere kunder uden at blande dem sammen. Den gør ikke testen mere dækkende for den enkelte kunde, og den løser ikke, at nogle kunder kræver mere end andre. Den ændrer heller ikke den enkelte kundes ret efter aftalen, fx til at få hele rapporten eller til selv at revidere. Har en kunde en sådan ret, skal den opfyldes, også selv om de andre kunder nøjes med kildeudgaven og deres kundeblad.