Adskillelse i netværket som NIS2‑foranstaltning: når kunden vil have den afprøvet

En kunde, der deler jeres platform med andre, vil vide, om kundens del er adskilt fra resten, og kravet om at få det afprøvet kan komme formuleret med henvisning til NIS2. Grundlaget er punkt 6.8 i bilaget til gennemførelsesforordning 2024/2690 om netsegmentering og de danske vejledninger, der nævner segmentering som en grundlæggende foranstaltning.

Kort sagt kan en test vise, om skillevæggene mellem kundens miljø, andre kunders miljøer og jeres egen administration holder, set fra de udgangspunkter, testen får. Den kan ikke erstatte jeres egen beskrivelse af, hvordan nettet er delt op, og den gælder kun for det tidspunkt og det omfang, der er aftalt.

Hvad forordningen siger om segmentering

Punkt 6.8.1 i forordningens bilag siger, at systemer segmenteres i net eller zoner ud fra risikovurderingen, og at enheden opdeler sine systemer og net, så de er adskilt fra tredjeparters systemer og net. Punkt 6.8.2 nævner bl.a. at placere kritiske systemer i sikrede zoner, at begrænse kommunikationen mellem zoner til det nødvendige, at adskille administrationsnettet fra driftsnettet og at holde produktion adskilt fra udvikling og test. Punkt 6.8.3 kræver, at opdelingen gennemgås med planlagte mellemrum og efter væsentlige hændelser eller ændringer.

Forordningens kreds er snæver: den omfatter digitale udbydere som cloud, datacentre og udbydere af administrerede tjenester og administrerede sikkerhedstjenester. Er I selv en af dem, gælder punkterne for jer direkte. Er I ikke, kan en kunde stadig bruge dem som beskrivelse af, hvad kunden forventer. → Forordning 2024/2690

Hvor det står for andre kunder

NIS 2-loven nævner ikke segmentering med ord. Forordningen placerer punktet under artikel 21, stk. 2, litra e, om sikkerhed ved erhvervelse, udvikling og vedligeholdelse, som i den danske lov svarer til § 6, stk. 1, nr. 5. Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025 nævner i afsnittet om cyberhygiejne, at netværket bør segmenteres efter aktivernes kritikalitet. Vejledningens eksempel om forsyningskæden spørger desuden, om leverandørernes adgang er passende segmenteret og kontrolleret.

Det sidste er værd at lægge mærke til, fordi det viser, at kunden også ser på jer som en mulig vej ind i kundens eget net. Kundens spørgsmål kan handle om to forskellige skillevægge: jeres adskillelse mellem kunder og kundens egen adskillelse af jeres adgang til kundens net.

To slags skillevægge

Når kunden siger segmentering, kan det betyde:

Adskillelse hos jer · kundens data og systemer på jeres platform kan ikke nås fra andre kunders miljøer, og jeres administrationsadgange er adskilt fra den almindelige drift. → Delte platforme hos MSP’en
Adskillelse hos kunden · jeres forbindelse ind til kundens net, fx til support eller fjernovervågning, giver kun adgang til det, I skal bruge. → Supportadgang i testen

Den første er jeres ansvar og kan testes i jeres eget miljø. Den anden er kundens ansvar, og en test af den kræver kundens tilladelse og deltagelse. Skriv i aftalen om testen, hvilken af de to der er tale om. → Afgrænsning mod kundens eget miljø

Hvad en test kan vise kunden

ENISA’s tekniske vejledning fra juni 2025, som ikke er bindende, nævner til punkt 6.8.3 penetrationstest og sårbarhedsvurderinger, der omfatter en vurdering af segmenteringen, som eksempler på dokumentation. En test af adskillelse kan vise:

Om kundens miljø kan nås udefra · fra et andet kundemiljø på samme platform eller fra et almindeligt brugernet hos jer.
Om administrationsadgangen er adskilt · om de adgange, der bruges til at drifte platformen, kan nås fra steder, de ikke skal kunne nås fra.
Om undtagelserne er kendt · åbninger mellem zoner, som ikke står i jeres beskrivelse.
Om test og produktion er adskilt · om et udviklings- eller testmiljø kan bruges som vej ind til driften.

Resultatet bliver mest brugbart, når hver skillevæg er formuleret som en påstand på forhånd, fx at kundemiljø A ikke kan nå kundemiljø B. Så kan testen svare ja eller nej på noget, kunden har spurgt om. → Fra krav til testplan

Hvor dybden ligger

Hvordan en segmenteringstest tilrettelægges i praksis, hvilke udgangspunkter testeren skal have, og hvordan resultatet læses af IT-afdelingen, er beskrevet på penetration-test.dk. Her er vinklen leverandørens: hvad kunden spørger om, og hvad I kan aflevere.

For leverandøren er det vigtigste at kunne aflevere tre ting samlet: en kort beskrivelse af zonerne og de tilladte forbindelser, resultatet af testen holdt op mod den beskrivelse og status på eventuelle rettelser. Den samling kan kunden lægge i sit leverandørregister, og den kan genbruges, når den næste kunde stiller det samme spørgsmål. Husk at opdatere beskrivelsen, når platformen ændres, ellers passer den ikke længere til testresultatet.

Et tænkt eksempel

En leverandør af et journalsystem kører løsningen for flere klinikker på en fælles platform. En af klinikkerne er omfattet af NIS 2-loven og beder om dokumentation for, at klinikkens data er adskilt fra de andre kunders. Leverandøren lader en test tage udgangspunkt i et testmiljø, der er opsat som en almindelig kunde, og afprøver, om det kan nå klinikkens miljø eller platformens administration.

Rapporten viser én åbning mellem to zoner, som ikke stod i leverandørens beskrivelse. Klinikken får et resumé med fundet, rettelsen og den gentagne afprøvning. Fordi platformen er fælles, får de andre kunder samme besked, uden at klinikkens navn nævnes.

Det skal I lade være med

At teste uden en beskrivelse af zonerne · testen har så intet at holde resultatet op imod.
At teste kundens net uden kundens tilladelse · jeres adgang til kunden er ikke en tilladelse til at teste den.
At love fuld adskillelse på baggrund af én test · testen dækker de udgangspunkter, den fik.
At glemme administrationsadgangene · de kan forbinde zoner, der ellers er adskilt.
At genbruge en gammel test efter en ændring af nettet · punkt 6.8.3 forudsætter en ny gennemgang ved væsentlige ændringer.

Hvad kan og ikke kan konkluderes

En test kan vise, at bestemte skillevægge holdt eller ikke holdt fra bestemte udgangspunkter på et bestemt tidspunkt. Den kan ikke vise, at alle veje mellem zonerne er lukket, eller at kunden lever op til sine krav. Teksten er ikke juridisk rådgivning.