Kunden kræver test af en uafhængig tredjepart: hvad betyder uafhængig i aftalen?

“Testen skal udføres af en uafhængig tredjepart.” Formuleringen kan stå i leverandøraftaler med NIS2-kunder, uden at ordet uafhængig er defineret. For en leverandør med en fast driftspartner, en intern sikkerhedsfunktion eller en konsulent, der tidligere har hjulpet med løsningen, er det ikke ligegyldigt, hvordan ordet forstås.

Svaret findes i aftalen og hos kunden, ikke i loven. NIS 2-loven og SAMSIK’s vejledning kræver ikke, at en leverandørs test udføres af en ekstern part. Kravet om uafhængighed er kundens eget og kan bunde i, at kunden skal kunne stole på resultatet og forklare det over for andre. Afklar derfor, hvad kunden forventer, og dokumentér, at testeren lever op til det.

Hvad reglerne siger, og hvad de ikke siger

SAMSIK’s vejledning om foranstaltninger skriver i afsnit 6.b, at tekniske test kan udføres af enheden selv eller af en tredjepart. Det gælder den omfattede kundes egne test. Der står ikke, at en leverandør skal bruge en ekstern tester.

Ordet uafhængig optræder andre steder i reglerne. NIS 2-loven giver i § 21, stk. 1, nr. 2, myndigheden mulighed for at kræve, at en væsentlig enhed får et kvalificeret uafhængigt organ til at foretage sikkerhedsaudits. For de digitale udbydere, som gennemførelsesforordning 2024/2690 gælder for, beskriver bilagets punkt 2.3 en uafhængig gennemgang af enhedens tilgang til sikkerhed. Efter punkt 2.3.2 må interne personer, der foretager gennemgangen, ikke være i ledelseslinjen for det område, de gennemgår.

Ingen af de to bestemmelser handler om en leverandørs penetrationstest. De kan dog forklare, hvorfor kunden tænker i uafhængighed, og hvilken betydning kunden kan lægge i ordet. → Uafhængig gennemgang og teknisk test

Tre måder at læse ordet på

Når kunden skriver uafhængig tredjepart, kan det dække over forskellige forventninger. Spørg, hvilken af dem kunden mener.

Et andet firma · testen udføres af en virksomhed, der ikke er jer.
Ingen andel i løsningen · testeren har ikke bygget, driver ikke og sælger ikke det, der testes.
Ingen binding til jer · testeren er ikke jeres faste driftspartner eller rådgiver på andre opgaver.

Den første læsning er den letteste at opfylde og den mindst sikre for kunden. Den anden og tredje kræver, at I kan redegøre for testerens forhold til jer og til løsningen. Har jeres driftsleverandør en sikkerhedsafdeling, kan den være et andet firma, men ikke nødvendigvis uden andel i det, der testes.

Situationer, der giver tvivl

Nogle forhold giver ingen tvivl, andre bør forklares over for kunden. Det er ikke testerens navn, der afgør det, men rollen.

En konsulent, der for to år siden hjalp med at designe jeres kundeportal, kan stadig være dygtig til at teste den. Men kunden vil måske vurdere, at konsulenten vurderer sit eget arbejde. En hostingpartner, der tilbyder at teste den platform, den selv drifter, har en tydelig andel i resultatet. En intern sikkerhedsfunktion hos jer er ikke en tredjepart, selv om den kan være uafhængig af udviklingen.

Et tænkt eksempel: En leverandør af et vagtplansystem til en kommune bruger et konsulenthus til både drift af databasen og årlig test. Kommunen har skrevet “uafhængig tredjepart” i aftalen. Leverandøren kan enten vælge en anden tester til den del, konsulenthuset drifter, eller forklare kommunen fordelingen og få et klart ja til den. → Kundens krav til testeren

Jeres eget svar eller en uafhængig test. Kunden kan begynde med at bede om en egenerklæring: jeres eget skriftlige svar på, hvilke foranstaltninger I har, fx i et spørgeskema. SAMSIK’s vejledning om anvendelsesområdet skriver, at en omfattet kunde ikke skal stille præcis de samme krav til leverandørerne, som kunden selv er underlagt, og ikke nødvendigvis skal kræve en særlig certificering eller revisionserklæring. Kunden kan altså godt nøjes med jeres eget svar.

Kræver kunden alligevel en uafhængig test, er det, fordi en egenerklæring kun viser, hvad I selv mener om jeres sikkerhed. En test fra en tester uden binding til jer viser, hvad en anden fandt, da den aftalte del af leverancen blev afprøvet. Skriv derfor i egenerklæringen, hvornår den seneste test var, og hvem der udførte den, så de to dokumenter hænger sammen. → Testspørgsmålet i spørgeskemaet

Det, kunden skal kunne vise

Kunden er selv under tilsyn og skal kunne forklare sin vurdering af leverandørerne. Hvis kunden har lagt vægt på uafhængighed, skal kunden kunne pege på noget, der underbygger den. En sætning i rapporten om, hvem der testede, og hvilket forhold testeren har til jer og til løsningen, kan være nok.

Bed testleverandøren om at skrive det ind i dokumentationen. Det kan være en kort erklæring om, at testeren ikke har udviklet, driver eller sælger den testede løsning, og om eventuelle tidligere opgaver for jer. → Oplysninger om testleverandøren · → Det, kunden kan vise tilsynet

Hvordan softwareleverandører mere generelt besvarer kunders krav om uafhængig test, er beskrevet på pentestrapport.dk.

Uafhængig, men ikke uden hjælp

En uafhængig tester skal stadig have hjælp fra jer. Testeren har brug for oplysninger om leverancen, testkonti, kontaktpersoner og et aftalt tidsrum. At jeres udviklere forklarer, hvordan portalen er bygget, gør ikke testen afhængig. Det afgørende er, at vurderingen af fundene er testerens.

Hold derfor rollerne adskilt i forløbet. I leverer oplysninger og adgang, testeren undersøger og skriver konklusionerne. Hvis I er uenige i et fund, kan jeres forklaring stå i rapporten ved siden af testerens vurdering. Kunden har mere glæde af at se uenigheden end af en konklusion, der er blevet blødt op undervejs.

Det samme gælder, når testeren foreslår rettelser. Testeren kan beskrive, hvad der bør ændres, men det er jer, der beslutter og gennemfører ændringen, og det bør fremgå, hvem der har gjort hvad.

Få definitionen ind i aftalen

Er aftalen endnu ikke underskrevet, så foreslå en definition. Den kan for eksempel sige, at testeren ikke må have udviklet, drevet eller solgt den testede del af leverancen, og at testerens forhold til jer oplyses i dokumentationen. Så ved begge parter, hvad der er aftalt, og kunden har et grundlag at henvise til.

Er aftalen allerede underskrevet, så skriv til kunden, hvordan I forstår ordet, og bed om en bekræftelse. Teksten er ikke juridisk rådgivning, og den endelige formulering bør vurderes af den, der normalt varetager jeres kontrakter. → Hvad I skal bede testeren om

Det skal I lade være med

At lade driftspartneren teste sin egen platform og kalde det uafhængigt uden at oplyse forholdet.
At gå ud fra, at et andet firmanavn er nok · kunden kan forvente mere.
At henvise til loven som begrundelse · kravet om uafhængighed er kundens, ikke lovens.
At skjule tidligere opgaver · oplys dem, og lad kunden vurdere betydningen.
At forveksle uafhængighed med kvalitet · en uafhængig tester kan stadig teste for lidt.

Hvad kan og ikke kan konkluderes

En test, hvor testerens forhold til jer og løsningen er oplyst, kan gøre det lettere for kunden at bruge resultatet over for sin ledelse og sit tilsyn. Den kan vise, at en aftalt del af leverancen er afprøvet af en, der ikke vurderer sit eget arbejde.

Uafhængighed siger ikke noget om omfanget eller grundigheden. Den afgør heller ikke, om kunden accepterer dokumentationen. Det vurderer kunden ud fra aftalen og sin egen risikovurdering.