Hvor meget skal kunden vide om omfanget? Fortrolighed om jeres systemer

En NIS2-kunde, der skal vurdere jer som leverandør, har brug for at vide, hvad jeres test dækkede. Samtidig er en detaljeret beskrivelse af omfanget også et kort over jeres løsning: systemer, adresser, adgangsveje og svagheder. Svaret er ikke nødvendigvis alt eller intet. Kunden skal kunne se nok til at bruge resultatet i sin egen vurdering, og I kan beskytte de detaljer, kunden ikke har brug for.

Balancen hviler på to ting: kundens ret til audit eller til at modtage auditrapporter, som nogle kunder skriver ind i aftalen, og jeres egen interesse i at holde oplysninger om løsningen og andre kunder fortrolige. Teksten er ikke juridisk rådgivning.

Hvorfor kunden spørger til omfanget

Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, men dens punkter kan bruges af andre NIS2-kunder som model. Bilagets punkt 5.1.4, litra e, nævner retten til audit eller retten til at modtage auditrapporter som noget, der kan stå i kontrakten med leverandøren. Punkt 5.1.6 beder enheden overvåge og evaluere leverandørernes cybersikkerhedspraksis med planlagte mellemrum.

En kunde kan ikke vurdere en test uden at vide, hvad den omfattede. En rapport uden omfang kan dække hele leverancen eller en enkelt webside, og kunden kan ikke se forskel. Derfor er omfanget det første, en kunde spørger til, og det sidste, I bør skjule. → Fire oplysninger om testen

Det, kunden skal kunne se

For at kunne bruge testen kan kunden have brug for:

Hvilke dele af leverancen · beskrevet med navne, kunden genkender, fx kundeportalen, integrationen og supportadgangen.
Hvad der var udeladt · og hvorfor, så kunden kan vurdere, om resten skal belyses på anden måde.
Testtype og periode · så kunden ved, hvilken slags afprøvning der blev gennemført og hvornår.
Testerens uafhængighed · om testen blev udført af jer selv eller af en ekstern part.
Fund med vurdering · i en form, der viser alvorlighed og status uden at forklare, hvordan fundet kan udnyttes.

Det er de oplysninger, der gør det muligt for kunden at sammenholde testen med sin egen risikovurdering. → Kundens risikovurdering

Det, I kan beskytte

Andre oplysninger er nyttige for jer og testeren, men ikke nødvendige for kundens vurdering:

Tekniske adresser og navne · interne servernavne, adresser og opbygning af netværket.
Fremgangsmåden bag fundene · de trin, der førte til et fund, ud over det, der skal til for at forstå alvoren.
Andre kunders forhold · navne, opsætninger og data hos andre kunder, der indgik i en fælles test.
Forretningshemmeligheder · detaljer om jeres løsning, som ikke angår sikkerheden.

Det er ikke det samme som at skjule fund. Et fund, der berører kunden, skal kunden kende. Det er formen, ikke indholdet, I kan tilpasse.

Grænsen kan være svær at trække, når et fund handler om en del, flere kunder deler. Beskriv da fundet ud fra den kunde, der læser: hvad det betyder for netop denne kundes data og brugere, og hvad I har gjort ved det. Forklar ikke, hvordan de andre kunders opsætning ser ud. Spørger kunden til detaljer, som I ikke vil skrive ned, kan en mundtlig gennemgang løse det uden at efterlade et dokument, der kan videresendes.

Lag i dokumentationen

En praktisk løsning er at dele dokumentationen i lag, så hver modtager får det, der passer:

Et resumé · omfang, udeladelser, periode, testtype og overordnet resultat, som kan deles bredt hos kunden.
En fundliste · hvert fund med alvorlighed, berørt del af leverancen og status på rettelse.
Den fulde rapport · med de tekniske detaljer, som kun gives under en fortrolighedsaftale eller gennemgås på et møde.

Nogle kunder kan bruge de to første lag. Ønsker kunden det tredje, er det rimeligt at aftale vilkår først: hvem der må læse det, hvor det opbevares, og hvornår det slettes. → Kundens opbevaring af jeres rapport

Lagene skal fortælle den samme historie. Et resumé, der lyder bedre end fundlisten, skaber mistillid, når kunden opdager forskellen. Skriv derfor resuméet sidst, ud fra fundlisten, og lad den samme person læse begge dele igennem, før de sendes.

Fortrolighed i aftalen

Styrelsen for Samfundssikkerhed (SAMSIK) nævner i sin vejledning om foranstaltninger, afsnit 4, fortrolighedsklausuler blandt de emner, en aftale med en leverandør kan indeholde, ved siden af kundens ret til revision eller til at modtage revisionsrapporter. Fortroligheden kan altså gå begge veje: kunden kan kræve, at I holder kundens oplysninger fortrolige, og I kan bede om det samme for jeres testdokumentation.

En testleverandør kan også binde sig til fortrolighed over for jer. Nielco IT underskriver fx en fortrolighedsaftale (NDA) på forespørgsel. Det er dog aftalen mellem jer og kunden, der afgør, hvad kunden må gøre med det, I afleverer. → Sikker aflevering af testresultater

Et tænkt eksempel

En leverandør af et system til kommunale hjemmeplejeruter skal dokumentere sin årlige test over for en kommune. Kommunens sikkerhedsfunktion beder om hele rapporten.

Leverandøren sender resumé og fundliste med det samme. Resuméet nævner, at et administrationsmodul var udeladt, fordi det blev testet separat tidligere på året. Den fulde rapport tilbydes gennemgået på et møde, hvor kommunens sikkerhedsansvarlige kan stille spørgsmål. Kommunen accepterer, men vil have en skriftlig bekræftelse på, at alle fund med høj alvorlighed er rettet. Leverandøren tilføjer en statuslinje til fundlisten, og kommunen arkiverer de to dokumenter i sin leverandøropfølgning.

Det skal I lade være med

At sende en rapport uden omfang · så kan kunden ikke bruge den.
At skjule udeladelser · kunden opdager dem, når der spørges ind.
At bruge fortrolighed som begrundelse for at tilbageholde fund · fund, der berører kunden, skal kunden kende.
At sende den fulde rapport uden vilkår · aftal læsere, opbevaring og sletning først.
At lade lagene fortælle forskellige historier · resumé og fundliste skal stemme overens.

Hvad kan og ikke kan konkluderes

En lagdelt dokumentation kan give kunden det, der skal til for at vurdere testen, uden at hele løsningens opbygning følger med. Den kan ikke erstatte kundens ret til at se mere, hvis aftalen giver den ret, og den beskytter ikke oplysninger, der allerede er delt uden vilkår. Hvor meget kunden har brug for, afhænger af kundens risikovurdering af jer. En leverandør, kunden vurderer som kritisk, må forvente flere spørgsmål og et større ønske om indsigt end en leverandør af en mindre vigtig tjeneste. Lagene gør det lettere at give mere, når der er grund til det.

Tjekliste før dokumentationen sendes

☐ Fremgår omfang, udeladelser, periode og testtype tydeligt?
☐ Er tekniske detaljer flyttet til det lag, der kræver vilkår?
☐ Er andre kunders forhold fjernet eller anonymiseret?
☐ Er alle fund, der berører kunden, med i fundlisten?
☐ Er vilkår for den fulde rapport aftalt skriftligt?

Kilder

Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra e, og 5.1.6.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 4 om emner i aftaler med leverandører, herunder fortrolighedsklausuler og ret til revision.

Senest gennemgået: oktober 2026.