Et brev fra en kunde med en henvisning til NIS2 kan få det til at se ud, som om jeres virksomhed nu er underlagt direktivet. Det er ikke nødvendigvis tilfældet. Det, der afgør jeres opgave, er det konkrete krav, kunden stiller i aftalen, og ikke direktivets navn.
Svaret er derfor at få kunden til at sige præcist, hvad der ønskes: hvilken del af jeres levering der er relevant, hvilken dokumentation der skal foreligge, og om en penetrationstest overhovedet er det, kunden beder om. Først når det står klart, kan en test bestilles, så den rammer kundens behov.
Hvorfor kravet kommer fra kunden
NIS2-direktivet pålægger de virksomheder, der er omfattet, at træffe foranstaltninger til styring af cybersikkerhedsrisici. Artikel 21, stk. 2, litra d, nævner forsyningskædesikkerhed, herunder de sikkerhedsrelaterede forhold mellem virksomheden og dens direkte leverandører og tjenesteudbydere.
Det er baggrunden for, at en omfattet kunde kan stille krav til jer som leverandør. Kunden skal kunne vise, at forholdet til leverandørerne er taget i betragtning, og kravet til jer er en del af den dokumentation. Om jeres egen virksomhed er omfattet af direktivet og den danske gennemførelse, er et andet spørgsmål, som kræver sin egen vurdering. Teksten er ikke juridisk rådgivning.
Kravet kan også nå jer i anden eller tredje led. En kunde, der selv er leverandør til en omfattet virksomhed, kan videregive de krav, den selv har fået. Spørg i så fald, hvor kravet oprindelig kommer fra, og om det er ændret på vejen.
Bed om det konkrete krav
En henvisning til NIS2 alene giver ikke et klart svar på, hvad kunden forventer. Bed om kravet formuleret som noget, der kan opfyldes. Spørgsmål, der kan sendes til kundens kontaktperson:
- Hvilken del af vores levering vedrører kravet: den løsning, I bruger, vores adgang til jeres systemer eller hele vores virksomhed?
- Hvilken form for dokumentation ønsker I: en penetrationstest, en udfyldt spørgeliste, en politik eller en erklæring?
- Hvor ofte skal dokumentationen fornyes?
- Hvem hos jer modtager dokumentationen, og hvordan skal den behandles?
Svarene gør det muligt at skelne mellem et krav om test og et krav om at beskrive, hvordan sikkerheden styres. Det sidste besvares ikke af en pentestrapport. → Pentest eller audit?
Kravet kan også komme som et spørgeskema med mange punkter, hvoraf kun et enkelt handler om test. Svar på de øvrige punkter for sig, og lad ikke testen blive svaret på spørgsmål om politikker, beredskab eller uddannelse, som den ikke belyser.
Når testen er det rigtige svar
En penetrationstest giver mening, når kunden ønsker dokumentation for, at en bestemt teknisk del er afprøvet. Det kan være kundeportalen, som kundens medarbejdere logger ind på, et API, der udveksler data med kundens ERP-system, eller den fjernadgang, jeres supportfolk bruger til at hjælpe kunden.
Afgrænsningen bør følge det, kunden faktisk er afhængig af. En test af jeres interne kontornet besvarer sjældent et spørgsmål om den løsning, kunden bruger. Skriv kundens spørgsmål ind i bestillingen, så rapportens konklusion kan kobles til det. → Scope i en penetrationstest
Hvis jeres adgang til kundens systemer er det, kunden bekymrer sig om, kan det være relevant at se på den adgang specifikt. → Leverandørens adgang i testen
Hvad kunden kan få at se
Når testen er gennemført, skal det besluttes, hvad kunden får. Et resumé med omfang, tidspunkt, overordnet resultat og håndtering af alvorlige fund kan dække kundens behov for dokumentation uden at udlevere tekniske detaljer om jeres systemer.
Hvis kunden ønsker hele rapporten, så overvej vilkårene for deling og opbevaring. En rapport om jeres løsning er følsom, også hos kunden. → Testerklæring: hvad den kan dokumentere
Det er også værd at aftale, hvordan nye alvorlige fund skal meddeles, hvis kravet løber over flere år. Kunden har en interesse i at vide, om forudsætningerne ændrer sig.
Når kunden har en frist
Krav fra kunder kan komme med en dato, for eksempel ved fornyelse af aftalen eller før et nyt samarbejde går i gang. En test kræver planlægning, adgang og tid til at håndtere fundene, før dokumentationen sendes. Hvis fristen er kort, er det bedre at sige det til kunden tidligt end at sende en halv dokumentation.
Overvej at foreslå kunden en plan: hvornår testen gennemføres, hvornår resultatet foreligger, og hvornår alvorlige fund forventes håndteret. En plan, der er aftalt, kan være mere værd for kunden end en rapport, der er bestilt i hast og dækker for lidt. → Forberedelse til penetrationstesten
Husk også de interne ressourcer. Fund skal rettes af nogen, og de samme personer har måske travlt med andre kunder i samme periode.
Hvad direktivet ikke siger
NIS2 foreskriver ikke en bestemt penetrationstest for leverandører. Direktivet beskriver de omfattede virksomheders pligter. Hvordan en kunde omsætter forsyningskædesikkerhed til krav, er kundens valg, og to kunder kan stille forskellige krav til den samme leverandør.
Det betyder, at en test bestilt til én kunde ikke nødvendigvis opfylder en anden kundes krav. Sammenlign kravene, og overvej, om en fælles test med en tydelig afgrænsning kan dække flere kunder på én gang. Hvordan standarder og lovtekster generelt kobles til en test, er beskrevet i → Penetrationstest og standarder.
Leverandørkædens krav er beskrevet mere udførligt på nis2-pentest.dk.
Det skal I lade være med
- At gå ud fra, at I selv er omfattet · det er kundens krav, der binder jer, medmindre en vurdering viser andet.
- At bestille en test på direktivets navn · få det konkrete krav på skrift først.
- At skrive NIS2-compliant i svaret til kunden · en test dokumenterer en afgrænset undersøgelse, ikke opfyldelse af en lov.
- At teste noget, kunden ikke bruger · afgrænsningen skal følge kundens afhængighed af jer.
- At udlevere hele rapporten uden vilkår · aftal, hvad der deles, og hvordan det opbevares.
Hvad kan og ikke kan konkluderes
En penetrationstest kan dokumentere, at en aftalt del af jeres levering er afprøvet, og hvad der blev fundet. Den kan indgå i kundens vurdering af forholdet til jer som leverandør. Den kan ikke afgøre, om kunden lever op til NIS2, og heller ikke om jeres virksomhed gør.
Resultatet gælder desuden kun den undersøgte del på testtidspunktet. Ændrer leveringen sig, eller får kunden adgang til nye funktioner, kan dokumentationen miste sin relevans. Derfor bør både I og kunden vide, hvilken version og hvilken afgrænsning rapporten bygger på.
Tjekliste, når kunden henviser til NIS2
- ☐ Er kundens krav formuleret konkret og på skrift?
- ☐ Er det klart, hvilken del af leveringen kravet gælder?
- ☐ Er det afklaret, om en test eller anden dokumentation ønskes?
- ☐ Følger testens afgrænsning det, kunden er afhængig af?
- ☐ Er det besluttet, hvad kunden får udleveret?
- ☐ Er det vurderet særskilt, om I selv er omfattet?
Kilder
- NIS2-direktivet, artikel 21, stk. 2, litra d: forsyningskædesikkerhed og forholdet til direkte leverandører og tjenesteudbydere.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Når kunden beder om pentestrapporten · Deling af pentestrapporten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
