Uafhængig gennemgang og teknisk test: to forskellige krav i forordningen

En leverandør, der bliver bedt om en uafhængig gennemgang, sender nogle gange en penetrationstest, fordi testen er udført af en ekstern part. Det er en forståelig fejl, men gennemførelsesforordning 2024/2690 skelner mellem de to. Punkt 2.3 i bilaget handler om uafhængig gennemgang af hele tilgangen til sikkerhed, mens punkt 6.5 handler om sikkerhedstest af systemer.

Kort sagt er gennemgangen en vurdering af styringen, udført af personer med auditkompetence. Testen er en afprøvning af tekniske foranstaltninger. Den ene kan bruge resultatet af den anden, men den ene erstatter ikke den anden. Hvilken af de to kunden beder om, afgør, hvad I skal levere.

Hvem forordningen gælder for

Forordning 2024/2690 gælder for bestemte digitale udbydere: DNS-tjenesteudbydere, topdomænenavneadministratorer, cloud, datacentre, indholdsleveringsnetværk, udbydere af administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner, sociale netværk og tillidstjenester. For dem er bilagets punkter bindende. For andre NIS2-kunder er punkterne ikke bindende, men de kan blive brugt som skabelon i kundens krav. → Forordning 2024/2690

Punkt 2.3: uafhængig gennemgang

Punkt 2.3.1 siger, at enheden uafhængigt gennemgår sin tilgang til styring af sikkerheden i net- og informationssystemer og gennemførelsen af den, herunder mennesker, processer og teknologier. Det er en bred vurdering af, om sikkerhedsarbejdet er indrettet og udført som tilsigtet. Gennemgangen ser altså på helheden: politikker, roller, risikovurdering, leverandørstyring og den måde, tekniske foranstaltninger vælges og følges op på. En enkelt afprøvning af et system kan ikke dække den bredde.

Punkt 2.3.2 kræver, at gennemgangen udføres af personer med passende auditkompetence. Udføres den af enhedens egne medarbejdere, må de ikke være over- eller underordnet personalet på det område, der gennemgås. Er enheden for lille til den adskillelse, skal den på anden måde sikre, at gennemgangen er upartisk. ENISA’s tekniske vejledning fra juni 2025, som ikke er bindende, nævner bl.a. en ekstern part som en mulighed.

Punkt 2.3.3 siger, at resultaterne rapporteres til ledelsesorganerne, og at der træffes korrigerende foranstaltninger eller accepteres en restrisiko. Punkt 2.3.4 kræver gennemgang med planlagte mellemrum og ved væsentlige hændelser eller ændringer.

Punkt 6.5: sikkerhedstest

Punkt 6.5.2 handler om noget andet. Enheden fastlægger ud fra sin risikovurdering behovet for, omfanget af, hyppigheden af og typen af sikkerhedstest, udfører dem efter en dokumenteret testmetode, dokumenterer type, omfang, tid og resultater og afhjælper alvorlige fund. → Dokumenteret testmetode

Punktet stiller ikke krav om, at testen udføres af en uafhængig part. Styrelsen for Samfundssikkerheds vejledning om foranstaltninger fra juni 2025 siger i afsnit 6.b, at test kan udføres af enheden eller af tredjepart. Kravet om uafhængighed findes i punkt 2.3, ikke i punkt 6.5. Kræver kunden en uafhængig tester, er det et krav i aftalen, og kunden bør så beskrive, hvad uafhængig betyder, fx om en tester fra jeres egen koncern eller jeres driftsleverandør kan godkendes. → Krav om uafhængig tredjepart

Hvordan de to hænger sammen

Punkt 2.3.3 nævner, at gennemgangens resultater omfatter overvågningen og målingen efter punkt 7, som handler om effektiviteten af foranstaltningerne. Testresultater kan indgå i det grundlag. En gennemgang kan altså se på, om I tester, om testene passer til risikoen, og om fundene bliver fulgt op. Selve testen er et af de input, gennemgangen ser på. → Effektivitet af foranstaltninger

Forskellen kan opsummeres sådan:

Spørgsmålet · gennemgangen spørger, om sikkerhedsarbejdet er indrettet og udført som tilsigtet; testen spørger, om bestemte tekniske foranstaltninger holder.
Udføreren · gennemgangen kræver auditkompetence og upartiskhed; testen kræver testkompetence, og forordningen siger ikke, hvem der skal udføre den.
Genstanden · gennemgangen omfatter mennesker, processer og teknologier; testen omfatter de systemer og komponenter, der er udpeget.
Modtageren · gennemgangens resultater skal til ledelsesorganerne; testens resultater skal dokumenteres med kritikalitet og afhjælpning.

Når kunden beder jer om det ene eller det andet

Spørger kunden efter en uafhængig gennemgang af jeres sikkerhed, er det styringen, kunden vil have vurderet, fx som led i en leverandørvurdering eller en ret til revision. Svaret kan være en rapport fra en intern eller ekstern gennemgang, en erklæring eller en certificering, alt efter hvad kunden accepterer. Det afgøres i aftalen, ikke af forordningen. → Ret til revision

Spørger kunden efter en sikkerhedstest, er det tekniske afprøvninger, kunden vil se. Er I usikre, så spørg, hvilket punkt eller hvilken bestemmelse kravet bygger på. Det er et kort spørgsmål, der kan spare en opgave, kunden ikke kan bruge. Generel viden om forskellen på en audit og en penetrationstest findes på penetrationtest.dk.

Et tænkt eksempel

En hostingleverandør, der selv er omfattet af forordningen som datacenter, bliver af en kunde bedt om at vedlægge sin seneste uafhængige gennemgang. Leverandøren har kun en penetrationstest fra en ekstern tester. I svaret skriver leverandøren, at testen dokumenterer sikkerhedstest efter punkt 6.5, og at gennemgangen efter punkt 2.3 er planlagt, med dato. Kunden får dermed et præcist billede i stedet for et dokument, der lover mere, end det kan holde.

Når gennemgangen senere er udført, kan leverandøren vise, hvordan testen indgik i den: gennemgangen har set på, om testens omfang passede til risikovurderingen, og om de fund, testen gav, er fulgt op. Det er netop den sammenhæng mellem de to, forordningen lægger op til, og den gør begge dokumenter mere værd for kunden.

Det skal I lade være med

At sende en testrapport som uafhængig gennemgang · den vurderer ikke jeres styring.
At lade samme person teste og gennemgå · gennemgangen kræver upartiskhed over for det, der gennemgås.
At læse uafhængighed ind i punkt 6.5 · kravet står i punkt 2.3 og i jeres aftaler.
At glemme ledelsen · gennemgangens resultater skal til ledelsesorganerne, ikke kun til IT.
At lade testeren skrive en vurdering af jeres styring ind i testrapporten · den er ikke udført med det formål og bliver let læst som mere, end den er.

Hvad kan og ikke kan konkluderes

En test kan dokumentere, at bestemte foranstaltninger er afprøvet, og den kan indgå i en gennemgang. Den kan ikke dokumentere, at hele tilgangen til sikkerhed er gennemgået uafhængigt, og en gennemgang kan omvendt ikke dokumentere, at de tekniske foranstaltninger holder. Teksten er ikke juridisk rådgivning.