Tilsynets audits og sikkerhedsscanninger hos kunden: hvad det betyder for leverandøren

En kunde, der beder jer have testdokumentation klar på kort varsel, kan tænke på et muligt tilsyn. Myndigheden fører tilsyn med kunden, ikke med jer, men tilsynets redskaber kan nå ned i leverandørkæden. Svaret hviler på NIS 2-lovens § 21, som giver myndigheden en række tilsynsforanstaltninger over for væsentlige enheder, og § 24, som giver tilsvarende redskaber over for vigtige enheder, når der er indikationer på, at loven ikke overholdes. Blandt redskaberne er sikkerhedsaudits, sikkerhedsscanninger og krav om at få udleveret dokumentation.

For jer er der to konsekvenser. Kunden kan få brug for at vise, hvordan risikoen fra leverandører er håndteret, og her kan jeres testresultat indgå. Og hvis kundens systemer kører på jeres platform, kan en scanning eller audit hos kunden berøre det, I driver. Teksten er ikke juridisk rådgivning.

Hvad loven giver myndigheden adgang til

§ 21, stk. 1, opregner tilsynsforanstaltningerne over for væsentlige enheder. De omfatter bl.a.:

Kontrol på stedet og eksternt tilsyn · herunder stikprøvekontroller.
Regelmæssige og målrettede sikkerhedsaudits · eller krav om, at kunden får et kvalificeret uafhængigt organ til at foretage dem og stiller resultaterne til rådighed for myndigheden.
Sikkerhedsaudits og sikkerhedsscanninger · foretaget af myndigheden.
Udlevering af oplysninger og dokumentation · nødvendige for at vurdere foranstaltningerne og gennemførelsen af cybersikkerhedspolitikker.

§ 24 giver lignende redskaber over for vigtige enheder, men som reaktivt tilsyn. Direktivets artikel 32 og 33 er grundlaget, og artikel 32 nævner, at sikkerhedsscanninger skal bygge på objektive, ikkediskriminerende, fair og gennemsigtige risikovurderingskriterier og om nødvendigt ske i samarbejde med den berørte enhed. → Væsentlige og vigtige enheder

Hvordan tilsynet ser ud i praksis

Myndighederne beslutter selv, hvordan de tilrettelægger tilsynet. Styrelsen for Samfundssikkerhed oplyser på sin side om NIS2-tilsyn, at tilsynet i 2026 og 2027 primært består af brede surveybaserede tilsyn med kommuner og offentlige forvaltningsenheder under den centrale forvaltning, suppleret med dybere emnebaserede tilsyn for udvalgte enheder. Andre myndigheder kan vælge andre former, og formen kan ændre sig fra år til år. Spørg derfor kunden, hvilken type tilsyn kunden forventer, når I aftaler, hvad der skal ligge klar.

For en leverandør betyder det, at et tilsyn hos kunden kan begynde med spørgsmål på skrift. Hvis spørgsmålene handler om forsyningskæden eller om vurdering af foranstaltningernes effektivitet, kan kunden have brug for at henvise til jeres dokumentation. → Styrelsen for Samfundssikkerhed og NIS2 set fra en leverandør

Jeres dokumentation i kundens svar

Når myndigheden beder kunden om dokumentation for foranstaltningerne, skal den efter § 21, stk. 2, angive formålet og præcisere, hvilke oplysninger der skal udleveres og i hvilken form. Det er kunden, der svarer. Men kundens svar om forsyningskædesikkerhed kan bygge på det, kunden har fået fra sine leverandører: aftaler, svar på sikkerhedsspørgeskemaer og dokumentation for test.

Derfor er det en fordel at aftale på forhånd, hvilken form jeres testdokumentation har, når den skal videre. Et kort resumé med omfang, tidspunkt, overordnet resultat og status på alvorlige fund kan bruges, uden at kunden skal udlevere en fuld teknisk rapport om jeres systemer. Aftal også, hvem hos kunden der må videregive materialet, og om I skal have besked, når det sker. → Kunden skal kunne vise tilsynet jeres testresultat

Når myndighedens scanning rammer jeres platform

Nogle leverandører driver systemer, som kunden bruger, fx en hostet løsning, en kundeportal eller en server i jeres datacenter, der er knyttet til kundens domæne. Hvis myndigheden eller kundens CSIRT scanner kundens systemer udefra, kan scanningen ramme noget, I drifter.

Det rejser nogle praktiske spørgsmål, som er værd at aftale med kunden:

Varsel · skal kunden give jer besked, hvis kunden ved, at en scanning er planlagt?
Kontaktpunkt · hvem hos jer kan svare, hvis jeres overvågning opdager trafik, der ligner et angreb?
Afgrænsning · hvilke adresser og systemer tilhører jer, og hvilke tilhører kunden?
Resultater · skal kunden dele fund, der vedrører jeres del af løsningen?

Lovens § 17 beskriver desuden, at CSIRT’en efter anmodning fra en væsentlig eller vigtig enhed kan foretage proaktiv scanning af enhedens systemer. Også her kan jeres platform blive berørt, hvis den indgår i kundens tjenester. → Afgrænsning mod kundens eget miljø

Når kunden skal have en uafhængig audit

§ 21, stk. 1, nr. 2, giver myndigheden mulighed for at kræve, at en væsentlig enhed får et kvalificeret uafhængigt organ til at foretage sikkerhedsaudits. Den, der udfører auditten, arbejder for kunden, men kan have spørgsmål om leverandørerne: hvordan de er udvalgt, hvad aftalerne siger, og hvordan kunden følger op.

Det kan føre til, at kunden beder jer om supplerende oplysninger, fx hvornår jeres seneste test blev udført, og om alvorlige fund er lukket. Hvis jeres aftale giver kunden ret til audit, kan kunden i nogle tilfælde også ønske, at auditøren selv ser materialet. Afklar i så fald, hvad der kan vises hos jer, og hvad der skal sendes. → Ret til revision i aftalen

Et tilsyn er ikke en penetrationstest

Myndighedens scanning og audit har et andet formål end en penetrationstest, som kunden eller I bestiller. Tilsynet skal vurdere, om kunden overholder loven. En penetrationstest skal undersøge, om en afgrænset løsning kan angribes, og hvad konsekvensen kan være. Det ene kan ikke erstatte det andet, og et tilsyn uden bemærkninger er ikke dokumentation for, at jeres løsning er testet. Omvendt kan en test hos jer give kunden et bedre grundlag for at svare, hvis tilsynet spørger til leverandørerne.

Det skal I lade være med

At vente med at aftale dokumentationens form · kunden kan få brug for den på kort varsel.
At sende den fulde rapport, fordi kunden har travlt · aftal en version, der kan videregives.
At ignorere uventede scanninger mod kundens adresser · afklar med kunden, før I reagerer.
At kalde et tilsyn hos kunden for en test af jer · formål og omfang er forskellige.
At love kunden, at jeres dokumentation tilfredsstiller myndigheden · vurderingen er myndighedens.

Hvad kan og ikke kan konkluderes

Tilsynsreglerne viser, hvorfor kunden har brug for, at jeres dokumentation er klar og forståelig: myndigheden kan kræve oplysninger og dokumentation for kundens foranstaltninger, også dem, der vedrører leverandører. Reglerne giver ikke myndigheden et direkte tilsyn med jer, medmindre I selv er omfattet. Et testresultat fra jer kan indgå i kundens svar, men det afgør ikke, om kunden lever op til loven.