Kunden vurderer et fund som mere alvorligt, end I gør

En NIS2-kunde kan vurdere et fund i jeres løsning hårdere end jer, og begge vurderinger kan være rigtige. I vurderer fundet ud fra jeres løsning og alle jeres kunder. Kunden vurderer det ud fra sin egen drift, sine egne data og sine egne pligter. Opgaven er derfor ikke at finde ud af, hvem der har ret, men at gøre forskellen synlig, aftale handlingen og skrive begge vurderinger ned.

Det hviler på, at kunden efter sine regler skal vurdere sårbarheder ud fra sin egen eksponering. Teksten er ikke juridisk rådgivning.

Hvorfor kunden må se anderledes på fundet

For de digitale udbydere, som gennemførelsesforordning 2024/2690 er bindende for, fx udbydere af cloud og administrerede tjenester, er kravene konkrete. Bilagets punkt 6.10.1 beder de enheder evaluere deres eksponering for sårbarheder, og punkt 6.10.2, litra c, beder dem afhjælpe sårbarheder, de har konstateret som værende af kritisk betydning for deres drift, uden unødig forsinkelse. Punkt 6.5.2, litra c, nævner en vurdering af den kritiske betydning for hvert fund.

Ordene deres drift er afgørende. Vurderingen af kritisk betydning er kundens egen. Et fund, som I anser for moderat, fordi det kræver et login, kan være alvorligt for en kunde, hvor mange eksterne brugere har login, eller hvor de berørte data er særligt følsomme. → Kundens risikovurdering som grundlag for jeres test

Scoren rummer to slags oplysninger

FIRST’s specifikation af CVSS v4.0 skelner mellem grundlæggende egenskaber ved en sårbarhed og de forhold, der hører til den, der bruger systemet. Ifølge specifikationen er oplysninger om trussel og miljø kun tilgængelige for slutbrugeren, og det er brugerorganisationen, der fastsætter dem. Specifikationen beskriver også CVSS som ét input, der kan kombineres med andre forhold, fx regulatoriske krav.

For jer betyder det, at en kunde, der hæver scoren ud fra sit eget miljø, gør det, systemet er bygget til. Testerens score i rapporten er som udgangspunkt en vurdering af svagheden i sig selv, mens kundens score kan indeholde oplysninger om, hvem der har adgang, og hvor følsomme data er. Spørg kunden, hvilke af de oplysninger der har ændret scoren, så I kan se, om de passer på jeres løsning. Uenigheden handler så om kundens miljø, ikke om skalaen. Bruger kundens aftale en score til at sætte frister, får forskellen direkte betydning. → CVSS i kundens krav

Find ud af, hvad uenigheden handler om

Før I svarer, så find ud af, hvor vurderingerne skilles. Tre steder er nærliggende:

Forudsætningerne · kunden antager en adgang eller opsætning, som ikke findes i kundens løsning, eller som I ikke kender.
Konsekvensen · kunden lægger vægt på data eller funktioner, der er mere kritiske for kunden end for jer.
Kundens pligter · fundet berører noget, kunden skal kunne dokumentere over for sin myndighed.

Det første kan afklares med fakta. Det andet og tredje er kundens vurdering, som I kan supplere, men ikke underkende. Spørg derfor åbent, hvad kunden lægger vægt på, før I forklarer jeres egen vurdering. Et kort møde med kundens sikkerhedsansvarlige og, hvis det er muligt, testeren kan afklare forudsætningerne hurtigere end en lang række mails. Skriv bagefter ned, hvad I blev enige om, og hvad der stadig er uafklaret.

Svaret til kunden

Et godt svar indeholder tre ting:

Jeres vurdering og begrundelse · kort og konkret, med de forudsætninger, I bygger på.
Det, kunden ved, som I ikke vidste · anerkend det, hvis kundens oplysninger ændrer billedet.
Handlingen · hvad I gør, og hvornår, uanset hvem der har ret.

Det sidste punkt er det vigtigste. Uenighed om alvor bør ikke stoppe en rettelse, som begge parter mener skal ske. Hvis kundens vurdering udløser en kortere frist, kan I enten følge den eller foreslå et midlertidigt tiltag, der mindsker kundens risiko, indtil rettelsen er klar. → Midlertidige tiltag, når en rettelse tager tid

Skriv begge vurderinger ned

I statuslisten eller svaret til kunden bør fundet stå med både testerens, jeres og kundens vurdering, hvis de er forskellige. Det gør det muligt for kunden at vise, at uenigheden er kendt og håndteret, og det gør det muligt for jer at vise, at I har taget kundens vurdering alvorligt.

Ender I med ikke at rette et fund, som kunden finder alvorligt, er det en accept, der skal begrundes og godkendes af kunden for kundens del. Den beslutning kan I ikke træffe alene. I kan beslutte, hvad I vil gøre i jeres løsning, men kun kunden kan beslutte, om den tilbageværende risiko kan bæres i kundens drift. Gør det tydeligt i svaret, hvem der har truffet hvilken beslutning, og hvornår. → Et fund, I ikke retter

Et tænkt eksempel

En leverandør af et system til tidsregistrering har et fund, som testeren har vurderet som moderat: en medarbejder kan se andre medarbejderes vagtplaner. Leverandøren er enig. En kunde, der er et sygehus, vurderer fundet som alvorligt, fordi vagtplanerne viser, hvornår bestemte personer er på arbejde i en afdeling med særlige sikkerhedshensyn.

Leverandøren anerkender, at sygehusets forhold ændrer billedet, slår funktionen fra for sygehusets brugere med det samme og retter fejlen for alle kunder i næste udgivelse. Statuslisten viser testerens, leverandørens og sygehusets vurdering og den aftalte handling. De øvrige kunder får rettelsen med den almindelige udgivelse, uden at sygehusets forhold nævnes. Generelt om at svare kunder, der læser et fund anderledes, se fx pentestrapport.dk.

Det skal I lade være med

At afvise kundens vurdering med henvisning til testerens score · scoren tager ikke højde for kundens miljø.
At lade uenigheden udsætte rettelsen · aftal handlingen først.
At ændre jeres egen vurdering uden begrundelse · hold fast i det, I kan forklare.
At skrive kun den ene vurdering ned · kunden skal kunne se begge.
At træffe kundens risikoaccept for kunden · den beslutning er kundens.

Hvad kan og ikke kan konkluderes

En dokumenteret uenighed viser, at fundet er vurderet fra begge sider, og at handlingen er aftalt. Den afgør ikke, hvem der har ret, og den ændrer ikke kundens pligt til selv at vurdere sin risiko. Hvad kundens vurdering betyder for aftalen, fx for frister, afgør aftalens ordlyd. En ny test eller en retest kan heller ikke afgøre uenigheden, men den kan vise, om rettelsen eller det midlertidige tiltag virker, og det er dét, kunden i sidste ende har brug for at kunne dokumentere.

Tjekliste ved uenighed om alvor

☐ Ved I, om uenigheden handler om forudsætninger, konsekvens eller kundens pligter?
☐ Er faktuelle misforståelser afklaret?
☐ Er handlingen aftalt uafhængigt af uenigheden?
☐ Står testerens, jeres og kundens vurdering i dokumentationen?
☐ Er et eventuelt midlertidigt tiltag beskrevet?
☐ Er det klart, hvem der skal godkende en accept?

Kilder

Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 6.5.2, litra c, 6.10.1 og 6.10.2, litra c. Gælder for de digitale udbydere, der er nævnt i artikel 1.
FIRST, CVSS v4.0 Specification Document: trussels- og miljøoplysninger fastsættes af brugerorganisationen; CVSS som ét input blandt flere.

Senest gennemgået: oktober 2026.