Sikkerhedsbilaget til kundekontrakten

Sikkerhedsbilaget er det sted i kundekontrakten, hvor løfterne om test, rapporter og håndtering af fund bliver konkrete. Om bilaget er jeres eget eller kundens, bygger det på de samme byggesten: hvad der testes, hvor tit, af hvem, hvad kunden får at se, og hvad der sker med fundene. Kan I svare præcist på de punkter, er bilaget et værktøj for begge parter. Står de uklart, bliver det en kilde til uenighed senere i aftalen.

Teksten er ikke juridisk rådgivning. Den beskriver indholdet set fra softwarehuset, ikke den juridiske udformning.

Hvad bilaget skal løse

Hoveddelen af en kundekontrakt handler om ydelsen, prisen og ansvaret. Sikkerheden har sit eget bilag, fordi den kræver detaljer, som ændrer sig hurtigere end resten af aftalen. Et bilag kan opdateres eller erstattes af en nyere version, uden at hele kontrakten skal genforhandles. Det forudsætter, at kontrakten siger, hvordan en ny version træder i kraft, og at kunden kan se, hvad der er ændret. Giv derfor bilaget et versionsnummer og en dato, og hold en kort liste over ændringer fra version til version.

For softwarehuset er bilaget samtidig en beskrivelse af, hvad I lover hver eneste kunde. Derfor betaler det sig at have et fast bilag, der passer til produktet, i stedet for at udfylde kundens skabelon forfra hver gang. → Jeres egne sikkerhedsvilkår frem for kundens

Punkterne om test

Afsnittet om penetrationstest i et sikkerhedsbilag kan dække disse punkter. Ikke alle skal med i alle aftaler, men I bør have taget stilling til dem.

Genstand · hvilket produkt, hvilke moduler og hvilke miljøer testen omfatter, og hvad der ikke er med.
Hyppighed og anledning · fast rytme, test efter større ændringer, eller begge dele.
Testeren · krav til uafhængighed og kvalifikationer, beskrevet så I kan skifte tester uden at bryde aftalen.
Dokumentation · hvilken form kunden får: resumé, kundeversion, erklæring eller adgang til den fulde rapport.
Fund · hvordan alvorlighed vurderes, og hvad I forpligter jer til efter testen.
Besked · hvornår kunden får at vide, at der er fundet noget alvorligt.
Kundens egne test · om kunden må teste, og efter hvilke regler.
Fortrolighed · hvordan kunden må bruge og dele det, I udleverer.

Kundens egne test fortjener en særlig bemærkning. Et bilag, der blot giver kunden ret til at teste, siger intet om, hvor og hvordan testen må ske. En henvisning til jeres regler for kunders test lukker det hul. → En testpolitik for kunder

Hvert punkt kan formuleres, så det passer til jeres faktiske praksis. Det er netop meningen. → Testklausulen i jeres kundekontrakt

Genstand og hyppighed

Det første, en kundes sikkerhedsfolk vil vide, er, hvad testen dækker. Et bilag, der blot nævner “løsningen”, lader kunden tro, at alt er med. Beskriv i stedet produktet, de dele, kunden bruger, og eventuelle undtagelser, fx en integration, som kunden selv har bygget.

Hyppigheden bør afspejle jeres årshjul. Skriv den rytme, I allerede følger, og angiv, hvad der udløser en ekstra test. Et krav om test ved hver release kan være umuligt at holde, hvis I udruller ofte. → Kontrakten kræver årlig test

Testeren og dokumentationen

Kunden kan have krav til, hvem der tester. Formulér kravet som egenskaber, fx at testeren er uafhængig af udviklingsteamet og har dokumenteret erfaring med test af webapplikationer, ikke som et bestemt firmanavn. Så kan I vælge tester efter behov og stadig overholde bilaget.

Til dokumentationen hører også fortroligheden. Bilaget kan sige, at det udleverede kun må bruges til kundens egen vurdering af jer, at det ikke må videregives uden aftale, og hvordan det udleveres. Hvis kunden skal skrive under på fortrolighed, før rapporten sendes, er det en god idé at skrive det ind her, så det ikke bliver en overraskelse midt i salget. → Fortrolighed før udlevering

Dokumentationen er det punkt, hvor uenighed opstår lettest. Kunden ønsker måske den fulde rapport, mens I vil udlevere et resumé. Bilaget bør sige, hvilken form der er aftalt, og hvordan kunden kan få uddybning, fx på et møde. → Hel rapport, resumé eller erklæring

Fund, frister og besked

Kunden vil vide, hvad der sker, når testen finder noget. Bilaget kan beskrive, at fund vurderes efter alvorlighed, at alvorlige fund prioriteres, og at kunden får besked efter en fast proces. Konkrete frister er et særskilt emne, som kræver omtanke, fordi de skal kunne holdes for alle kunder. → Rettefrister i kontrakten

Besked om sårbarheder hænger sammen med jeres øvrige kommunikation. Et bilag, der henviser til en fast proces for sikkerhedsmeddelelser, er lettere at opfylde end et, der lover besked på særlige vilkår til hver enkelt kunde. → Pligt til at underrette kunden om sårbarheder

Et tænkt eksempel

Et softwarehus, der leverer et system til lønadministration, har hidtil underskrevet kundernes egne sikkerhedsbilag. Efter et år har de syv forskellige bilag med hver sin testhyppighed og hver sin rapportform.

Den sikkerhedsansvarlige skriver et fælles bilag på tre sider. Det beskriver produktet og undtagelserne, test én gang om året og efter større ændringer, krav til testerens uafhængighed, et resumé og en erklæring som standard og et møde om detaljerne efter aftale. Fund vurderes efter en kendt skala, og kunderne får besked om alvorlige fund efter softwarehusets proces for sikkerhedsmeddelelser.

Ved næste kontraktforhandling sendes bilaget med fra starten. Kunden har to tilføjelser, som drøftes én for én, i stedet for at hele skabelonen skal gennemgås.

Det skal I lade være med

Beskrive genstanden for løst · så tror kunden, at mere er testet, end tilfældet er.
Navngive en bestemt tester · det binder jer, hvis I skifter.
Love den fulde rapport uden at overveje det · den kan rumme detaljer, der ikke bør spredes.
Skrive frister, I ikke har prøvet at holde · de bliver målestokken for hele aftalen.
Have forskellige bilag til hver kunde · det gør det svært at vide, hvad I har lovet hvem.
Glemme at opdatere bilaget · et bilag, der beskriver et ældre produkt, giver et forkert billede.

Hvad kan og ikke kan konkluderes

Et klart sikkerhedsbilag kan gøre det tydeligt, hvad kunden kan forvente af test, dokumentation og håndtering af fund, og det kan gøre kontraktforhandlinger kortere. Det kan ikke sikre, at kunden accepterer jeres udgave, og det afgør ikke spørgsmål om ansvar, som hører hjemme i kontraktens hovedtekst. Teksten er ikke juridisk rådgivning.

Tjekliste til bilaget

☐ Er produktet, modulerne og undtagelserne beskrevet?
☐ Svarer hyppigheden til jeres faktiske årshjul?
☐ Er kravene til testeren formuleret som egenskaber?
☐ Er dokumentationsformen aftalt, og er der en vej til uddybning?
☐ Kan fristerne og beskedpligten holdes for alle kunder?
☐ Er der regler for kundens egne test?
☐ Har bilaget en version og en ejer, der holder det opdateret?

Kilder

NCSC (UK): Penetration testing: afgrænsningen af en test bør give et dokument med testens tekniske grænser, typer af test, tidsramme og krav til rapporteringen.

Senest gennemgået: oktober 2026.