Sektorkrav hos kunderne: sundhed, finans og energi

Når et softwarehus får sin første kunde i en reguleret sektor, kan tonen i sikkerhedsspørgsmålene skifte mærkbart. Årsagen ligger ikke nødvendigvis i jeres produkt, men i de regler, kunden selv er underlagt, og som pålægger kunden at styre risikoen ved sine leverandører. Svaret hviler på at skelne mellem kundens pligter og jeres: reglerne gælder kunden, men kunden kan omsætte dem til krav i jeres kontrakt, herunder krav om test og om, hvad I skal dokumentere.

Reglerne gælder kunden, kravene rammer jer

NIS2 og DORA stiller krav til kunden, og en del af dem handler om kundens leverandører. Om jeres eget firma også selv er omfattet af en af reglerne, er et særskilt spørgsmål, som ikke afgøres af, hvem jeres kunder er. Kunden skal kunne vise sin tilsynsmyndighed, at risikoen ved jer er vurderet og styret. Den dokumentation kommer fra jer.

Derfor er det kundens fortolkning af sine egne regler, der bestemmer, hvad I bliver bedt om. To kunder i samme sektor kan læse reglerne forskelligt og stille forskellige krav. Spørg kunden, hvilken regel kravet bygger på, og hvad kunden selv skal kunne vise. Så bliver det lettere at give det rigtige svar.

Nogle spørgsmål er værd at stille tidligt i forløbet, fordi svarene påvirker både kontrakten og den næste test.

Reglens navn · hvilken lov, forordning eller tilsynsvejledning kravet kommer fra.
Funktionens betydning · om kunden regner jeres produkt for en kritisk eller vigtig del af sin drift.
Modtageren · om dokumentationen skal bruges internt hos kunden eller vises til et tilsyn.
Tidspunktet · om kunden har en frist, fx en tilsynsgennemgang eller en intern revision.

Svarene gør det muligt at levere det, kunden skal bruge, uden at sende mere materiale end nødvendigt. → Kunder omfattet af NIS2

Energi og andre NIS2-sektorer

NIS2-direktivet lister i bilag I en række sektorer af særligt kritisk betydning, blandt andet energi, bankvirksomhed og sundhed. Efter artikel 21, stk. 2, litra d, skal medlemsstaterne sikre, at de omfattede enheder har foranstaltninger for forsyningskædesikkerhed, herunder forholdet til deres direkte leverandører. Artikel 21, stk. 3, nævner leverandørernes produkter og cybersikkerhedspraksis, herunder sikre udviklingsprocedurer, som noget enheden skal tage hensyn til.

For jer betyder det, at en kunde i energisektoren kan spørge til, hvordan I udvikler, tester og retter, og at en pentestrapport kan blive en del af kundens dokumentation over for sit tilsyn. Hvordan direktivet er gennemført i dansk lov, og hvordan kæden af krav ser ud fra leverandørens side, er beskrevet i dybden på nis2-pentest.dk.

En energikunde kan desuden have driftsteknologi tæt på jeres produkt. Hvis jeres system udveksler data med kundens anlæg, så afklar, hvor jeres ansvar slutter, før testens omfang fastlægges. → Integrationer til kundernes systemer

Finans: DORA og kontrakten

Finansielle virksomheder er omfattet af DORA, forordning (EU) 2022/2554. Artikel 30 opregner, hvad kontrakter om IKT-tjenester mindst skal indeholde. For tjenester, der understøtter kritiske eller vigtige funktioner, nævner artikel 30, stk. 3, blandt andet leverandørens pligt til at deltage i og samarbejde om kundens trusselsbaserede penetrationstest og kundens ret til adgang, inspektion og revision.

Samme stykke nævner også retten til at blive enige om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes. For en SaaS-leverandør med mange kunder i samme løsning er det et vigtigt punkt. Det giver et udgangspunkt for at drøfte, hvordan kundens revision eller test kan ske uden at gå ud over de andre kunder. Den nærmere gennemgang af finanskunders krav står for sig. → Kunden er en finansiel virksomhed

Sundhed: følsomme oplysninger i produktet

Sundhed står også i NIS2-direktivets bilag I. Dertil kommer, at et produkt i sundhedssektoren kan behandle helbredsoplysninger, og at kunden derfor stiller skarpere spørgsmål til adgangsstyring, logning og adskillelse af data. Kunden kan ønske at se, at testen har dækket netop de dele af produktet, der beskytter oplysningerne. → En kunde i sundhedssektoren

Tænk også over selve testen. Et produkt med helbredsoplysninger bør testes med opdigtede data, så testeren ikke kommer til at se rigtige patienters oplysninger. Aftal det med kunden, før testen planlægges, hvis kundens egne data ligger i det miljø, der skal testes. Og husk, at rapporten fra sådan en test kan beskrive svagheder i netop den beskyttelse, kunden er mest optaget af. Den skal derfor udleveres med samme omhu som andre fortrolige dokumenter.

Hvad sektorkravene kan ændre i jeres test

Uanset sektor er der nogle forhold, som kunder med regulering kan lægge vægt på.

Omfanget · at testen dækker de dele af produktet, kunden faktisk bruger, og ikke kun en fællesdel.
Uafhængigheden · at testeren er uafhængig af dem, der har udviklet produktet.
Opfølgningen · at fund rettes, og at I kan vise det med et retestresultat.
Hyppigheden · at testen gentages efter en aftalt plan og efter større ændringer.
Adgangen · at kunden eller kundens tilsyn kan få indsigt i dokumentationen på aftalte vilkår.

Saml svarene, så de kan genbruges på tværs af sektorer. Forskellen mellem kunderne kan ligge mindre i selve testen end i, hvor meget dokumentation de skal have, og hvordan de vil have adgang til den. → Flere kunder stiller forskellige krav

Et tænkt eksempel

Et softwarehus leverer et system til planlægning af vedligehold. Det har kunder i ejendomsbranchen og får nu en henvendelse fra et forsyningsselskab og en pensionskasse på samme tid.

Forsyningsselskabet spørger til sikker udvikling og beder om et resumé af den seneste test. Pensionskassen sender et kontraktbilag med krav om revisionsret og om deltagelse i kundens test. Softwarehuset spørger begge kunder, hvilken regel kravet bygger på, og om systemet understøtter en kritisk eller vigtig funktion. Pensionskassen bekræfter, at det ikke er tilfældet, og kravet om deltagelse i test udgår. Forsyningsselskabet får resuméet, og begge svar lægges i softwarehusets svarbibliotek.

Det skal I lade være med

Antage, at reglerne gælder jer direkte · det er kundens pligter, I skal hjælpe med at dokumentere.
Love at opfylde kundens regulering · I kan kun dokumentere jeres egen del.
Acceptere ubegrænset adgang i et delt miljø · andre kunders forhold skal også tages i betragtning.
Behandle alle sektorkunder ens · spørg hver kunde, hvad kravet bygger på.
Lade sektorkravet styre hele testen · omfanget skal stadig passe til produktet.

Hvad kan og ikke kan konkluderes

En kunde i en reguleret sektor kan have gode grunde til at stille skarpere krav til jer, og en dokumenteret test kan indgå i kundens egen dokumentation. Det afgør ikke, om kunden opfylder sine regler, og det gør ikke jer omfattet af dem. Om en regel gælder, og hvordan den skal forstås, er et spørgsmål for kunden og kundens rådgivere. Teksten er ikke juridisk rådgivning.

Kilder

NIS2-direktivet (EU) 2022/2555: bilag I med blandt andet energi, bankvirksomhed og sundhed; artikel 21, stk. 2, litra d, og stk. 3, om forsyningskædesikkerhed og leverandørernes produkter og praksis.
DORA, forordning (EU) 2022/2554: artikel 30, stk. 3, litra d og e, om deltagelse i kundens trusselsbaserede penetrationstest, adgang, inspektion og revision og alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes.

Senest gennemgået: oktober 2026.