Status på rettelser: sådan dokumenterer I opfølgningen over for kunden

Rapporten fortæller kunden, hvad testen fandt. Den fortæller ikke, hvad der er sket siden, og det er netop det, en NIS2-kunde spørger om nogle uger senere. Svaret er en statusliste, der for hvert fund viser alvor, handling, ansvarlig, dato og om rettelsen er efterprøvet, og som opdateres efter en fast aftale med kunden.

Behovet kommer fra to punkter i bilaget til gennemførelsesforordning (EU) 2024/2690. Punkt 6.5.2, litra c, kræver, at testresultater dokumenteres med en vurdering af afbødende foranstaltninger for hver konstatering, og litra d, at der anvendes afbødende foranstaltninger ved alvorlige konstateringer. Forordningen gælder direkte for bestemte digitale udbydere; SAMSIK’s vejledning om foranstaltninger bruger tilsvarende formuleringer for de øvrige enheder under NIS 2-loven. Teksten er ikke juridisk rådgivning.

Hvorfor kunden har brug for mere end rapporten

En NIS2-kunde skal ikke kun vurdere jer, når aftalen indgås. Forordningens punkt 5.1.6 beder kunden overvåge og evaluere leverandørernes cybersikkerhedspraksis med planlagte mellemrum, og punkt 5.1.4, litra f, nævner en kontraktlig pligt for leverandøren til at håndtere sårbarheder, der udgør en risiko for kundens systemer.

Rapporten er bevis for, at fundene blev opdaget. Statuslisten er bevis for, at de bliver håndteret. Kunden kan bruge den direkte i sin egen leverandøropfølgning, og den gør det muligt for kunden at se, om en risiko stadig ligger åben i kundens egen risikovurdering.

ENISA’s tekniske vejledning til forordningen, som ikke er bindende, anbefaler, at vurderingen og de afbødende handlinger dokumenteres for hvert fund, og at risikovurdering og risikobehandlingsplan opdateres i takt med det. Når kunden følger den anbefaling, er jeres statusliste et af de dokumenter, kunden opdaterer ud fra. Jo mere præcis den er, jo mindre skal kunden spørge. → Kundens løbende opfølgning på leverandører

Det, hver linje skal vise

En statusliste er mest brugbar, når hver linje har de samme felter:

Fundets reference · samme nummer som i rapporten, så linjen kan spores tilbage.
Kort beskrivelse · én sætning, kunden forstår uden at slå op i rapporten.
Alvor · testerens vurdering og jeres egen, hvis de er forskellige.
Handling · rettelse, afbødende foranstaltning eller accept med begrundelse.
Ansvarlig · rolle eller funktion hos jer.
Dato · planlagt dato og faktisk dato.
Efterprøvning · om rettelsen er kontrolleret, hvordan og hvornår.

Listen skal også have en dato for, hvornår den sidst er opdateret, og en henvisning til den rapport, den hører til. Uden de to oplysninger kan kunden ikke vide, om listen er aktuel. → Fire oplysninger om testen

Statusord, I definerer én gang

Uklare statusord er den hyppigste kilde til misforståelser. “Lukket” kan betyde, at rettelsen er udrullet, at den er efterprøvet, eller at fundet er accepteret. Aftal et lille sæt ord, og skriv deres betydning øverst i listen:

Åben · fundet er ikke håndteret endnu.
Afbødet · en midlertidig foranstaltning mindsker risikoen, men fejlen findes stadig.
Rettet · rettelsen er gennemført hos jer.
Rettet og efterprøvet · en tester har kontrolleret, at rettelsen virker.
Accepteret · fundet rettes ikke, og beslutningen er begrundet.

Forskellen mellem rettet og rettet og efterprøvet er den, kunden især kan spørge til. Hold dem adskilt, også når efterprøvningen ligger måneder ude i fremtiden. → Retest som dokumentation over for kunden

Hvor ofte listen skal opdateres

Forordningen sætter ingen frekvens for jeres status til kunden. Den kommer fra aftalen eller fra det, I selv foreslår. Et brugbart udgangspunkt er at opdatere listen ved hver ændring af status på et alvorligt fund og samlet ved et fast tidspunkt, kunden kender, fx ved det møde, hvor I i forvejen gennemgår leverancen.

Står der frister for rettelser i aftalen, skal listen vise datoen for hvert fund, så kunden kan se, om fristen holdes. Ændres en dato, så skriv hvorfor, og læg ikke den gamle dato væk. En flyttet frist med begrundelse er bedre dokumentation end en dato, der stille er blevet ændret. Gem gerne de tidligere udgaver af listen, så både I og kunden kan se forløbet. → Kundens frister for rettelser

Afbødning og accept skal kunne læses

En linje med status afbødet bør sige, hvad foranstaltningen er, og hvad den betyder for kunden, fx at en funktion er slået fra, eller at en adgang er begrænset. Forordningens punkt 6.10.3 kræver en plan for afhjælpning, når en sårbarheds potentielle indvirkning berettiger det, og ellers en dokumenteret begrundelse for, hvorfor den ikke kræver afhjælpning.

For kunden betyder det, at en accepteret linje uden begrundelse ikke kan bruges. Henvis til den beslutning, der ligger bag, og skriv, om kunden er orienteret eller selv skal tage stilling. → Et fund, I ikke retter

Et tænkt eksempel

En leverandør af et bookingsystem til en regional busoperatør får ni fund i sin årlige test, heraf to alvorlige. Busoperatøren beder om status hver måned, indtil de alvorlige er efterprøvet.

Leverandøren laver en liste med de syv felter og de fem statusord. Efter første måned står det ene alvorlige fund som afbødet med en beskrivelse af, at en eksportfunktion er slået fra, og det andet som rettet med dato for efterprøvning. Efter tredje måned er begge rettet og efterprøvet, tre mindre fund er rettet, og et enkelt er accepteret med en begrundelse, som busoperatøren har kvitteret for. Herefter overgår listen til kvartalsvis opdatering. Busoperatøren kan nu vise sin egen ledelse, at begge alvorlige fund er rettet og efterprøvet, uden at nogen har skullet læse rapporten igen. Leverandøren bruger samme skabelon til sine andre kunder.

Det skal I lade være med

At bruge lukket som eneste statusord · kunden kan ikke se, hvad der er gjort.
At ændre datoer uden spor · skriv den nye dato og begrundelsen.
At lade en midlertidig foranstaltning stå i måneder uden plan · afbødning er ikke en rettelse.
At markere et fund efterprøvet, når kun I selv har set på det · skriv, hvem der kontrollerede.
At sende listen uden dato · kunden ved ikke, hvor gammel oplysningen er.

Hvad kan og ikke kan konkluderes

En opdateret statusliste viser kunden, at fundene fra en bestemt test bliver håndteret, hvem der har ansvaret, og hvor langt man er. Den siger ikke noget om svagheder, testen ikke fandt, og en rettet linje er kun dokumentation for det enkelte fund. Hvad kunden selv skal gøre med åbne punkter, afgør kunden. → Åbne fund på afleveringstidspunktet

Tjekliste til statuslisten

☐ Har hver linje samme reference som rapporten?
☐ Er statusordene defineret øverst i listen?
☐ Er rettet og efterprøvet holdt adskilt?
☐ Har afbødede og accepterede fund en begrundelse?
☐ Står der en dato for seneste opdatering?
☐ Er det aftalt, hvor ofte kunden får listen?

Kilder

Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra f, 5.1.6, 6.5.2, litra c og d, og 6.10.3.
SAMSIK, vejledning om foranstaltninger (juni 2025): afsnit 6.b om dokumentation af testresultater og kompenserende handlinger.

Senest gennemgået: oktober 2026.