SAMSIK’s vejledning om tekniske test: hvad der står om penetrationstest

Kundekrav om penetrationstest kan bygge på et kort afsnit i en dansk vejledning, som få leverandører har læst. Det er afsnit 6 i Styrelsen for Samfundssikkerheds vejledning om implementering af cybersikkerhedsforanstaltninger fra juni 2025. Vejledningen er rettet til de enheder, der er omfattet af NIS 2-loven, men den forklarer, hvad jeres kunde forventes at gøre, og dermed hvorfor kunden spørger jer.

Kort sagt nævner vejledningen penetrationstest som én af ni eksempler på tekniske test. Den lægger valget af testtype og hyppighed over på kundens risikovurdering, anbefaler test ved installation og væsentlige ændringer, og beskriver, hvordan resultaterne bør dokumenteres. Den kræver ikke penetrationstest af leverandører.

Hvor afsnittet står, og hvad det bygger på

Afsnit 6 i vejledningen hører til NIS 2-lovens § 6, stk. 1, nr. 6, om politikker og procedurer til vurdering af foranstaltningernes effektivitet. Afsnittet har to dele. Del a handler om at vurdere, om de implementerede foranstaltninger er tilstrækkelige. Del b handler om tekniske tests.

Grundlaget er lovbemærkningerne, som vejledningen citerer. Ifølge dem skal enhederne have politik og procedurer for at vurdere effektiviteten og behovet for tekniske test for potentielle sårbarheder. Del a nævner desuden, at procedurerne bør angive, hvem der skal udføre vurderingerne, og hvordan en foranstaltning, der vurderes ineffektiv, bliver fulgt op.

De ni eksempler på tekniske test

Del b giver en liste over, hvad tekniske test kan være. Listen er eksempler, ikke en fast pakke:

Sårbarhedsscanninger · automatisk søgning efter kendte sårbarheder i systemer, net og applikationer.
Penetrationstests · i vejledningens ord “simulerede angreb for at identificere og udnytte sårbarheder”.
Red team-tests · avancerede, målrettede angreb, der afprøver det samlede forsvar og evnen til at opdage. → Red teaming og NIS2
Blue team-aktiviteter · forsvar og hændelseshåndtering, herunder logovervågning.
Konfigurationsgennemgang · opsætninger holdt op mod god praksis og politikker.
Kodegennemgang · analyse af kildekode for sikkerhedsfejl.
Gennemgang af opdateringsrutiner · om kendte sårbarheder bliver lukket.
Social engineering-tests · afprøvning af den menneskelige del, fx phishing eller fysisk adgang.
Test af adgangskontrol og adgangskoder · kontrol af, hvordan login og autentificering fungerer.

For en leverandør er listen nyttig, fordi den viser, at kunden har andre muligheder end en penetrationstest. Hvis jeres leverance fx er et konfigureret standardsystem, kan en konfigurationsgennemgang svare bedre på kundens spørgsmål. → Sårbarhedsscanning eller penetrationstest

Hvornår der bør testes

Vejledningen bruger ordet skal om, at enheden løbende vurderer behovet for tekniske test og ud fra en risikovurdering fastlægger behov, frekvens og hvad der skal testes. Den bruger ordet bør om, at systemer sikkerhedstestes ved installation og vedligeholdelse og ved opgradering eller ændringer, som enheden vurderer som væsentlige, og om regelmæssige, planlagte test på tværs af organisationen.

Der står intet fast interval. Et krav om årlig test kommer derfor fra kundens risikovurdering eller jeres aftale, ikke fra vejledningen. Vejledningen nævner også, at test kan udføres af enheden selv eller af en tredjepart. → Testfrekvens efter risiko

Hvordan resultaterne bør dokumenteres

Afsnittet om dokumentation er det, der mest direkte kan blive til konkrete krav til jeres rapport. Vejledningen anbefaler, at:

Testen følger en dokumenteret metode · og dækker de komponenter, risikoanalysen har udpeget som relevante.
Resultater noteres under forløbet · ikke kun i en slutrapport.
Type, omfang, tidspunkt og resultater dokumenteres · så det er forståeligt for tredjeparts eksperter. → Dokumentation, en tredjepart kan forstå
Hvert resultat vurderes · med en vurdering af, hvor kritisk det er, og hvilke kompenserende handlinger der er sat i gang.
Restrisiko accepteres af risikoejeren · med rapportering til relevant ledelse.

Det sidste punkt forklarer, hvorfor kunden kan spørge til fund, I har valgt ikke at rette. Kunden skal kunne vise, hvem der har accepteret risikoen, og det kræver en begrundelse fra jer. → Et fund, I ikke retter

Advarslen om driftsteknologi

Vejledningen gør opmærksom på, at aktive scanninger i OT-miljøer kan give forstyrrelser eller nedetid. Den nævner passiv overvågning og netværkstrafikanalyse som alternativer. For leverandører til forsyning, produktion og anlæg er det en vigtig sætning at kunne henvise til, når et krav om test rammer udstyr, der styrer fysiske processer. → Produktionsudstyr og OT

Sådan bruger I afsnittet over for kunden

Afsnittet kan bruges som fælles sprog, når kravet er uklart. Det giver jer og kunden de samme ord for testtype, anledning og dokumentation, og det gør det lettere at blive enige om, hvad der skal leveres.

Et tænkt eksempel: En leverandør af styring til et vandværks pumpestationer får et krav om “årlig penetrationstest i henhold til NIS2”. Leverandøren svarer med et forslag, der bruger vejledningens begreber. Den webbaserede driftsportal penetrationstestes, fordi den kan nås udefra. Styringsudstyret i anlægget gennemgås ved en konfigurationsgennemgang og passiv overvågning i stedet for aktiv test, med henvisning til vejledningens advarsel om OT-miljøer. Næste test knyttes til væsentlige ændringer af portalen. Resultaterne afleveres med testtype, omfang, tidspunkt og en vurdering af hvert fund.

Kunden kan sige ja, nej eller bede om mere. Men forslaget viser, at leverandøren har forstået, hvad kunden selv forventes at gøre, og det gør det lettere for kunden at godkende en afgrænset løsning frem for en test af alt. Vandværket skal selv kunne forklare sit valg over for sin myndighed, og et forslag i vejledningens sprog er lettere at forklare videre.

Det skal I lade være med

At læse listen som et krav om alle ni testtyper · den er eksempler, og valget hviler på risikovurderingen.
At henvise til vejledningen for et fast testinterval · det står der ikke.
At aflevere en rapport uden vurdering af hvert fund · vejledningen lægger vægt på kritikalitet og handlinger.
At skjule fund, der ikke rettes · kunden skal kunne vise, hvem der har accepteret restrisikoen.
At ignorere OT-advarslen · aktive test af styringsudstyr kræver særskilt aftale og forsigtighed.

Hvad kan og ikke kan konkluderes

Vejledningen forklarer, hvordan en omfattet kunde forventes at tænke om tekniske test, og den giver et godt mål for, hvordan en testrapport bør se ud. Den pålægger ikke leverandører pligter, og den fastsætter hverken testtype eller interval for jeres leverance. Det er kundens myndighed, der vurderer, om kunden lever op til loven, og sektorspecifik vejledning kan supplere SAMSIK’s. ENISA’s vejledning til forordning 2024/2690 beskriver lignende testtyper, men gælder kun de udbydere, forordningen omfatter, og er ikke bindende. → ENISA’s vejledning om test Teksten er ikke juridisk rådgivning.