Jeres egne sikkerhedsvilkår frem for kundens

Når hver ny kunde sender sit eget kontraktbilag om sikkerhed, ender softwarehuset med lige så mange versioner af løftet om test, som det har store kunder. Fælles sikkerhedsvilkår, som I selv har skrevet, samler løfterne ét sted og gør dem ens for alle. De virker, hvis de beskriver det, I faktisk gør, er skrevet så en kundes sikkerhedsfolk kan genkende deres egne krav i dem, og hvis afvigelser kun aftales, når de er vurderet og registreret. Teksten er ikke juridisk rådgivning.

Vilkårene er ikke et forsøg på at slippe for kundens krav. De er et tilbud om at opfylde kravene på én måde, som I kan holde.

Hvorfor fælles vilkår

Et softwareprodukt, der deles af mange kunder, testes én gang for alle. Rapporten er den samme, rettelserne kommer i samme release, og underretningen sendes på samme tidspunkt. Det giver lidt mening, at de løfter, der knytter sig til testen, er forskellige fra kunde til kunde.

Fælles vilkår gør det også lettere for jer selv. Salget kan svare hurtigere, den sikkerhedsansvarlige ved, hvad der er lovet, og udviklerne arbejder efter ét sæt frister. Når en kunde spørger, kan I henvise til et dokument i stedet for at forhandle hvert punkt forfra.

Der er også en fordel for kunden. En kunde, der får et færdigt dokument, kan vurdere det i sit eget tempo og sammenligne det med sine krav, uden at vente på, at leverandøren besvarer et bilag fra bunden. Og kunden kan regne med, at løfterne holdes, fordi de er de samme, som alle andre kunder har fået. → Forhandling af sikkerhedskrav: hvad kan I sige nej til?

Det, vilkårene bør sige om test

Vilkårene behøver ikke at være lange, men de skal dække de punkter, kundernes egne bilag kan spørge til.

Rytme · hvor ofte produktet testes, og hvad der udløser en ekstra test.
Tester · krav til uafhængighed og kvalifikationer hos den, der tester.
Udlevering · hvad kunden kan få: resumé, kundeversion eller erklæring, og på hvilke vilkår.
Fund · hvordan fund vurderes, hvilke mål der gælder for rettelse, og hvordan de efterprøves.
Underretning · hvornår kunden får besked om sårbarheder, der berører kunden.
Kundens egen test · på hvilke betingelser kunden selv må teste produktet.
Revision · hvordan en revision hos jer foregår.

Hvert punkt kan henvise til et mere detaljeret dokument, fx jeres testpolitik for kunder. → En testpolitik for kunder: reglerne for deres test af produktet

Skriv dem, så kunden kan genkende sine krav

En kunde, der har sit eget bilag, vil læse jeres vilkår med sit bilag ved siden af. Gør sammenligningen let. Brug de begreber, kunderne selv bruger, og vær præcis, hvor kundernes krav er præcise, fx om hvad årlig betyder, og hvornår et fund tæller som rettet.

NCSC i Storbritannien beskriver i sine principper for cloudsikkerhed, hvordan kunder kan vurdere en udbyder ud fra den dokumentation, udbyderen stiller til rådighed, og nævner, at nogle udbydere offentliggør skriftlige svar på, hvordan de opfylder principperne. Fælles vilkår er en lignende tanke i mindre skala: et dokument, der gør det muligt for kunden at vurdere jer uden at stille hvert spørgsmål selv. → Sikkerhedspakken: dokumentation klar til kundernes indkøb

Hold dem i takt med virkeligheden

Vilkår, der lover mere end jeres praksis, er værre end ingen vilkår. Lad den, der ejer testen og håndteringen af fund, godkende teksten, og gennemgå den, når noget ændrer sig: en ny tester, en ny rytme, et nyt produkt eller en ny type kunde. Sæt også en fast dato i kalenderen, fx i forbindelse med den årlige test, hvor vilkårene læses igennem, selvom intet ser ud til at have ændret sig. Små ændringer i praksis kan være sket, uden at nogen har tænkt på vilkårene.

Giv vilkårene et versionsnummer og en dato, og gem hver udgave, så I senere kan se, hvad der blev lovet hvornår. Aftal, hvordan ændringer gælder for eksisterende kunder. En kunde, der har skrevet under på én version, skal vide, om en senere version gælder, og I skal vide, hvilken version hver kunde har. → Sikkerhedsbilaget til kundekontrakten

Når kunden insisterer på sit eget bilag

Nogle kunder kan ikke acceptere en leverandørs vilkår, fordi deres egen politik eller lovgivning kræver deres eget bilag. Så kan jeres vilkår stadig være udgangspunktet. Gå kundens bilag igennem punkt for punkt, og marker, hvor det svarer til jeres vilkår, hvor det går videre, og hvor det er uforeneligt med et produkt, der deles af mange kunder. Send kunden en kort oversigt over de tre grupper. Den gør forhandlingen konkret og viser, at I har læst kundens krav.

Afvigelser, I accepterer, skal registreres, så de ikke glemmes. En liste over kunder med særvilkår, og hvad særvilkårene siger, er nødvendig, når en rettelse skal planlægges eller en underretning sendes. → Testklausulen i jeres kundekontrakt: hvad kan I acceptere?

Et tænkt eksempel

Et softwarehus leverer ventelisteadministration til boligforeninger. I løbet af et år har fem kunder sendt hver deres sikkerhedsbilag med forskellige krav til test, frister og underretning.

Softwarehuset samler kravene, ser, hvor de overlapper, og skriver ét sæt vilkår, der dækker det fælles og lidt mere. Ved næste fornyelse tilbydes vilkårene til alle fem. Fire accepterer. Den femte har et krav fra sin egen revisor og beholder et enkelt særvilkår om udlevering, som noteres på listen med kundens navn og den dato, særvilkåret skal ses igen.

Det skal I lade være med

Skrive vilkår, I ikke lever op til · de bliver læst som løfter.
Kopiere en anden virksomheds vilkår · de beskriver en anden praksis.
Glemme versionen · I skal vide, hvilken tekst hver kunde har.
Afvise kundens bilag uden at læse det · der kan være krav, I uden videre kan opfylde.
Acceptere særvilkår uden at registrere dem · så holder de ikke.
Lade vilkårene stå uændret, når praksis ændres · teksten skal følge med.

Hvad kan og ikke kan konkluderes

Fælles vilkår viser, at jeres løfter om test er de samme for alle kunder og hænger sammen med det, I gør. De gør ikke produktet mere sikkert i sig selv, og de fjerner ikke kundernes ret til at stille krav. Hvordan vilkårene spiller sammen med den øvrige kontrakt, er et spørgsmål til jeres egen rådgiver.

Tjekliste til jeres sikkerhedsvilkår

☐ Dækker vilkårene rytme, tester, udlevering, fund, underretning, kundetest og revision?
☐ Er teksten godkendt af den, der ejer testen?
☐ Har vilkårene version og dato?
☐ Er det aftalt, hvordan ændringer gælder for eksisterende kunder?
☐ Findes der en liste over kunder med særvilkår?
☐ Er vilkårene gennemgået efter den seneste ændring i praksis?

Kilder

NCSC (UK): The cloud security principles: kunder vurderer udbyderen ud fra den dokumentation, der stilles til rådighed; nogle udbydere offentliggør skriftlige svar på, hvordan de opfylder principperne.

Senest gennemgået: oktober 2026.