Aftalen venter på en pentestrapport: hvad gør I nu?

Når kundens indkøb skriver, at kontrakten først kan underskrives, når I har sendt en pentestrapport, flytter et sikkerhedsspørgsmål sig ind i salgets kalender. Svaret hviler på tre afklaringer: hvad kunden præcis skal have, hvad I allerede kan levere, og hvilken dato I realistisk kan love for resten.

Kort sagt: send ikke det første og bedste dokument, og bestil ikke en test i blinde. Få kravet på skrift, vis kunden det, I har, og aftal en plan med en dato, som I selv har styr på. Det giver kunden noget at beslutte ud fra, og det holder forhandlingen åben.

Find ud af, hvad der præcist blokerer underskriften

Et krav om en pentestrapport kan dække over meget forskelligt. Hos nogle kunder er det et fast punkt i en indkøbsproces, hvor nogen skal sætte et flueben. Hos andre sidder en sikkerhedsansvarlig, der vil læse fundene. Spørg sælgerens kontaktperson, hvem hos kunden der skal godkende jer, og hvad den person skal se.

Bed om formuleringen fra kundens egen dokumentation, så I ikke arbejder ud fra et referat fra et salgsmøde. Spørg også, om rapporten er det eneste, der mangler. Der kan også ligge et spørgeskema eller et sikkerhedsbilag i samme bunke, og så er rapporten kun én af flere ting, der holder aftalen tilbage. → Hvad skal kunden bruge rapporten til?

Det, I har i dag

Gennemgå jeres egen hylde, før I svarer. Har I en tidligere test af produktet, en erklæring fra testeren, en beskrivelse af jeres udviklingsproces eller en oversigt over, hvordan kundernes data holdes adskilt? Hvert af de dokumenter kan være en del af svaret, selv om det ikke er den rapport, kunden bad om.

Hvis den seneste test er af en ældre version eller kun dækker en del af produktet, så sig det. Et dokument med en tydelig afgrænsning er mere værd for kunden end et dokument, der ser større ud, end det er. Har I slet ingen test, er det også et svar, der kan gives ordentligt. → I har endnu ikke fået lavet en test

Tidsplanen fra bestilling til dokument

En ny test tager tid i flere led: en tester skal findes og have plads i kalenderen, omfanget skal aftales, testen skal gennemføres, og rapporten skal skrives. Derefter kommer jeres egen vurdering af fundene, og måske rettelser og en efterprøvning, før I vil udlevere noget. Spørg testeren om hvert led, i stedet for at regne med et tal fra en anden opgave. Husk også jeres egne led, som interne godkendelser og ferier.

Fortæl testeren fra starten, at rapporten skal bruges over for en kunde, og hvilken form kunden forventer. Så kan rapporten skrives med den læser for øje, og I undgår at skulle bede om en ny version bagefter. → Bestil testen til kundebrug

Læg den dato, kunden får, efter det sidste led, I selv styrer, og ikke efter testens første dag.

Overvej også, hvad der sker i produktet imens. Hvis en større release er lige på trapperne, kan det være klogere at teste den version, kunden faktisk kommer til at bruge, end den version, der kører i dag. Omvendt må en release ikke skubbe testen så langt, at datoen til kunden skrider. Tal med produktejeren, før I lægger jer fast, så udviklingsplanen og løftet til kunden passer sammen.

Det, I lover kunden i mellemtiden

Det, I skriver til kunden nu, kan blive en del af aftalegrundlaget. Hold løftet til noget, I kan opfylde uanset testens udfald:

Testen er bestilt · med navnet på testeren, når aftalen er på plads.
Omfanget · hvilke dele af produktet testen dækker.
Dokumentet · om kunden får hele rapporten, et resumé eller en erklæring.
Datoen · hvornår dokumentet foreligger, med en realistisk margin.
Håndtering af fund · at alvorlige fund bliver vurderet og fulgt op efter en plan.

Lov ikke, at testen ender uden fund, og lov ikke at rette alt inden en bestemt dato. Ingen af delene kan I styre, før I kender resultatet. → Rapport, resumé eller erklæring

Nogle kunder vil underskrive med et forbehold om, at dokumentationen eftersendes. Andre vil vente. Spørg, hvad kunden kan acceptere, og få svaret skrevet ind, så forbeholdet ikke glemmes.

Hvis testen finder noget alvorligt

Muligheden skal med i planen fra starten. Et alvorligt fund lige før en underskrift er ubehageligt, men det er håndterbart, hvis I har besluttet på forhånd, hvem der vurderer det, hvem der taler med kunden, og hvordan I beskriver status. → Alvorlige fund lige før en aftale

Et ærligt svar om et fund, der er under rettelse, behøver ikke at vælte en aftale. Det, der skader tilliden, er når kunden selv opdager, at billedet var pyntet.

Hvem i softwarehuset gør hvad

Kravet kan lande hos sælgeren, men sælgeren kan ikke bestille testen, vurdere fundene eller svare på tekniske opfølgninger alene. Udpeg én person, der ejer kravet internt, holder øje med datoen og samler dokumenterne. Det kan være CTO’en, produktejeren eller den, der har sikkerheden som ansvar. → Hvem ejer kundekravet?

Sælgeren bør til gengæld have et kort, godkendt svar, som kan bruges, indtil dokumentet er klar. Så siger ingen noget forskelligt til kunden. Generel viden om bestilling og forløb findes på penetrationtest.dk.

Det skal I lade være med

At sende en gammel rapport uden kommentar · Kunden opdager, at datoen eller omfanget ikke passer.
At bestille, før kravet er læst · Testen kan ende med at dække noget andet end det, kunden spurgte om.
At love en dato ud fra testens startdag · Rapport, vurdering og eventuel efterprøvning tager også tid.
At lade sælgeren improvisere svarene · Uafstemte løfter bliver hængende i aftalen.
At pynte på resultatet · Et fund, kunden selv finder i rapporten, koster mere end et fund, I forklarer.

Hvad kan og ikke kan konkluderes

En rapport fra en test af produktet kan vise kunden, hvad der blev undersøgt, hvornår og med hvilket resultat. Sammen med en plan for fundene kan den være nok til, at kunden kan godkende jer som leverandør.

Den kan ikke afgøre, om kunden underskriver. Det afhænger af kundens egne krav og vurdering, og af resten af det, kunden har bedt om.

Tjekliste, når aftalen venter

☐ Har I kundens krav i kundens egen formulering?
☐ Ved I, hvem hos kunden der godkender dokumentationen?
☐ Er det afklaret, om andet end rapporten mangler?
☐ Har I gennemgået, hvad I allerede kan sende?
☐ Kender testeren rapportens formål og modtager?
☐ Bygger datoen til kunden på alle led i forløbet?
☐ Er det besluttet, hvordan I håndterer et alvorligt fund?
☐ Har sælgeren et godkendt svar til mellemtiden?

Kilder

NCSC: Penetration testing: planlægningen af en test bør omfatte krav til rapportering og compliance, og risikovurderingen af fund forbliver virksomhedens egen opgave.

Senest gennemgået: oktober 2026.