En kommune, en region eller en statslig myndighed bestiller en penetrationstest på samme måde som en virksomhed, men tre forhold er anderledes. Rapporten bliver et dokument, der kan blive omfattet af en anmodning om aktindsigt. Statens myndigheder har tekniske minimumskrav og en ramme for informationssikkerhed, som testen skal ses i forhold til. Og driften er i nogle tilfælde fælles med andre myndigheder, så tilladelsen til testen kan ligge flere steder.
Svaret på alle tre hviler på planlægning før testen: hvordan rapporten skal opbygges, hvilke krav testen skal belyse, og hvem der råder over de systemer, der skal undersøges.
Rapporten er et dokument i en sag
Offentlighedsloven giver i § 7 enhver ret til indsigt i dokumenter, som en myndighed har modtaget eller oprettet som led i administrativ sagsbehandling. En testrapport kan derfor blive genstand for en anmodning, og myndigheden skal kunne håndtere den, når den kommer.
Loven indeholder undtagelser, som kan være relevante for en rapport om svagheder. § 33 giver mulighed for at begrænse aktindsigten, når det er nødvendigt for at beskytte væsentlige hensyn, blandt andet forebyggelse af lovovertrædelser. § 30, nr. 2, handler om oplysninger om tekniske indretninger og driftsforhold, når det er af væsentlig økonomisk betydning for den virksomhed, oplysningerne angår. § 34 betyder, at resten af et dokument skal udleveres, når kun en del er undtaget.
Hvilke bestemmelser der kan bruges på en konkret rapport, afgøres først, når anmodningen kommer, og det er myndighedens juridiske vurdering. Teksten er ikke juridisk rådgivning.
Byg rapporten, så den kan vurderes del for del
Fordi delvis aktindsigt er udgangspunktet, kan det hjælpe at aftale med testeren, at rapporten deles op. Ledelsesresuméet beskriver resultatet og den samlede vurdering. De tekniske detaljer om svaghederne samles i bilag. Så er det lettere at vurdere hver del for sig, når en anmodning kommer. → Tekniske bilag til rapporten
Aftal også, hvordan rapporten journaliseres, hvem der får den, og hvor den opbevares. Udkast og arbejdsmateriale fra testeren hører med i overvejelsen. Drøft opbygningen med myndighedens jurister, før testen begynder, ikke når anmodningen er kommet. → Opbevaring af pentestrapporten
Statens tekniske minimumskrav
Statslige myndigheder skal efterleve de tekniske minimumskrav til it-sikkerhed, som Styrelsen for Samfundssikkerhed udarbejder. Vejledningen fra september 2025 beskriver dem som obligatoriske og ufravigelige, så en myndighed ikke ud fra en risikovurdering kan undtage udvalgte systemer. Kravene dækker blandt andet mail, autentifikation, logning, netværk og internetvendte tjenester.
En penetrationstest er ikke kontrollen af minimumskravene, men den kan give et billede af, om de virker i praksis for de systemer, der testes. Skriv i opgavebeskrivelsen, hvis testen skal belyse bestemte krav, så rapporten kan pege på dem. Vejledningen understreger også, at myndighederne selv skal foretage risikovurderinger og indføre yderligere tiltag, hvor det er relevant. En test af et system, som risikovurderingen har udpeget som vigtigt, kan være et sådant tiltag, og resultatet kan bruges i næste vurdering. → Opgavebeskrivelsen
ISO 27001 og NIS2
Styrelsen for Samfundssikkerhed skriver i sin vejledning til den centrale forvaltning fra oktober 2026, at ISO 27001 gennem en årrække har været anvendt i staten. Vejledningen beskriver, at statslige forvaltningsenheder er omfattet af NIS 2-loven i deres helhed, og at ISO 27001 og minimumskravene kan bidrage væsentligt til at opfylde lovens krav, men ikke nødvendigvis er tilstrækkelige i sig selv.
Kommuner har deres egen sektorvejledning fra samme styrelse. For testens køber betyder det, at rapporten kan skulle indgå i dokumentationen over for flere rammer på én gang. Hvordan en test passer ind i ISO-arbejdet, er beskrevet i → ISO 27001-certificering og penetrationstest
Tilladelsen, når driften er fælles
Et offentligt system drives ikke altid af den myndighed, der bruger det. Styrelsens vejledning nævner, at fællesstatslige løsninger og basal it-drift varetages af driftsmyndigheder, som selv er omfattet af NIS 2-loven, og som over for kunderne er at betragte som leverandører. En kommune kan på samme måde bruge løsninger, som en driftsleverandør eller et fælleskommunalt samarbejde står for.
For testen betyder det, at myndighedens eget ja ikke dækker systemer, som en anden part driver. Kortlæg, hvem der råder over hvert system i scope, og indhent tilladelse dér. Systemer, der ikke kan godkendes i tide, skal skrives ud af scope. Aftal samtidig med driftsmyndigheden eller leverandøren, hvem der skal kontaktes under testen, hvis noget uventet sker, og hvordan testaktiviteten meldes til deres overvågning, så den ikke bliver forvekslet med et angreb. → Leverandørens godkendelse mangler
Tænk også på borgernes oplysninger. Hvis testen kommer i berøring med personoplysninger, skal myndighedens databeskyttelsesrådgiver inddrages i planlægningen. → Testkonti og testdata
En bredere øvelse, hvor også politisk ledelse og medarbejdere indgår, er red teaming og er beskrevet på red-teaming.dk.
Hvem bestiller i myndigheden
I en myndighed kan flere enheder have en rolle: den faglige forvaltning, der ejer systemet, IT-afdelingen, der kender opsætningen, og den sikkerhedsfunktion, der arbejder med ISO 27001 og minimumskravene. Udpeg én bestiller, der samler beslutningerne og er testerens kontakt under forløbet.
Afklar også, hvem i ledelsen der skal orienteres før og efter testen, og hvem der modtager rapporten. Jo flere der får den fulde rapport, desto flere steder skal den håndteres i forhold til journalisering og opbevaring. En fordeling, hvor ledelsen får resuméet og de tekniske modtagere bilagene, kan aftales på forhånd. → Interne roller i en penetrationstest
Det skal I lade være med
- At antage, at rapporten forbliver intern · gå ud fra, at en anmodning om aktindsigt kan komme.
- At samle alt i ét dokument · et skel mellem resumé og tekniske bilag gør vurderingen lettere.
- At regne testen for kontrollen af minimumskravene · den belyser de testede systemer, ikke alle krav.
- At give tilladelse på andres vegne · fællesløsninger kræver driftsmyndighedens eller leverandørens ja.
- At inddrage juristerne for sent · rapportens opbygning skal aftales før testen.
Hvad kan og ikke kan konkluderes
En penetrationstest kan vise, hvordan de testede systemer holdt under de aftalte forhold, og den kan underbygge myndighedens arbejde med minimumskrav, ISO 27001 og NIS 2-loven. Den kan ikke dokumentere, at et krav er opfyldt for hele myndigheden, og den afgør ikke, hvilke dele af rapporten der kan undtages fra aktindsigt.
Tjekliste før bestillingen
- ☐ Er rapportens opbygning aftalt, med resumé og tekniske bilag adskilt?
- ☐ Har myndighedens jurister set på journalisering og aktindsigt?
- ☐ Er det besluttet, om testen skal belyse bestemte minimumskrav eller ISO-kontroller?
- ☐ Er det kortlagt, hvem der driver hvert system i scope?
- ☐ Er tilladelse indhentet fra driftsmyndigheder og leverandører?
- ☐ Er databeskyttelsesrådgiveren inddraget, hvis personoplysninger berøres?
- ☐ Er det aftalt, hvor rapport og arbejdsmateriale opbevares?
Kilder
- Offentlighedsloven, lovbekendtgørelse nr. 145 af 24. februar 2020: § 7 om aktindsigt, § 30, nr. 2, § 33 og § 34 om undtagelser og delvis aktindsigt.
- Styrelsen for Samfundssikkerhed: Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025): afsnit 1.2 om obligatoriske og ufravigelige krav og myndighedernes egne risikovurderinger.
- Styrelsen for Samfundssikkerhed: NIS 2-vejledning til offentlige forvaltningsenheder under den centrale forvaltning (oktober 2026): afsnit 4 om ISO 27001, minimumskrav og løsninger driftet hos andre myndigheder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Driftsleverandøren og testen · Rapportens resumé
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
