Testen i salgsmaterialet: hvad må I skrive?

Når et softwarehus har fået testet sit produkt, er det fristende at skrive det på forsiden, i produktbladet og i præsentationen til den næste kunde. Det må I gerne, men kun med udsagn, som rapporten faktisk kan bære. Svaret hviler på to ting: markedsføringsloven forbyder handelspraksis, der er egnet til at vildlede andre erhvervsdrivende, og en kundes sikkerhedsfolk vil holde hvert ord op mod den dokumentation, de senere beder om. En sætning med dato, omfang og afsender holder. En sætning om sikkerhed i almindelighed gør ikke.

Loven gælder også mellem virksomheder

Markedsføringsloven gælder ikke kun over for forbrugere. Efter § 20 må en erhvervsdrivendes handelspraksis ikke være egnet til at vildlede, så det kan påvirke andre erhvervsdrivendes økonomiske adfærd. Ved vurderingen indgår blandt andet oplysninger om produktets egenskaber. Sikkerhed er en egenskab, som kunder kan lægge vægt på, når de vælger leverandør.

Det betyder ikke, at hver formulering bliver bedømt juridisk. Men det er en god målestok: kan en kunde blive ført til at tro noget om produktet, som testen ikke viser? Så bør sætningen omskrives. Om en konkret formulering er i orden, er en vurdering for jeres rådgiver. Teksten er ikke juridisk rådgivning.

Det, en test faktisk viser

En penetrationstest viser, hvad en tester fandt i et afgrænset omfang, i en bestemt periode og i en bestemt version af produktet. Den viser ikke, at produktet er uden svagheder, og den siger intet om dele, der ikke var med, eller om ændringer, der er kommet siden.

Al tekst om testen i salgsmateriale bør derfor kunne føres tilbage til tre oplysninger i rapporten: hvad der blev testet, hvornår, og af hvem. Kan en sætning ikke det, er den en påstand om sikkerhed, ikke en oplysning om testen. → Version og testdatoer

Formuleringer, der holder

Det sikreste er at beskrive handlingen og ikke resultatet.

Hvad der skete · “Platformen blev penetrationstestet af en uafhængig tester i marts.”
Hvad testen dækkede · “Testen omfattede webapplikationen, API’et og adskillelsen mellem kunder.”
Hvordan I følger op · “Fund rettes efter en fast proces og bekræftes ved retest.”
Hvad kunden kan få · “Et resumé af testen kan udleveres efter aftale om fortrolighed.”
Hvordan I tester fremover · “Produktet testes årligt og efter større ændringer,” hvis det er jeres faktiske plan.

Alle fem kan dokumenteres, og ingen af dem lover noget om fremtiden, som I ikke selv har i hånden. → Formidl et godt resultat ærligt

Formuleringer, I bør undgå

Nogle udtryk lyder forsigtige, men siger mere, end testen bærer.

Garantier · “hackersikker”, “fuldt beskyttet” eller “uden sårbarheder”.
Godkendelser · “godkendt af” eller “certificeret pentest”, hvis der ikke findes en ordning, der godkender eller certificerer.
Udsagn uden dato · “penetrationstestet”, når testen er flere år gammel.
Ord, der dækker andet · “løbende pentest”, når det, der kører løbende, er en automatisk scanning.
Andres navne · testerens navn eller logo, uden at testeren har givet lov.

Grafiske mærker kræver samme omtanke. Et skjold eller et flueben med teksten “pentestet” ser ud som et officielt mærke, selv om ingen ordning står bag. En kunde kan tro, at en tredjepart løbende kontrollerer produktet. Brug hellere en kort, dateret tekst end et symbol, der kan læses som en godkendelse.

Vær særligt varsom med ord, der hører til en standard eller ordning. Skriver I, at produktet opfylder en standard, er det et udsagn om hele standarden, ikke om den del, testen dækkede. Henvis i stedet til den certificering eller erklæring, I faktisk har, og til den organisation, der står bag. → Kunden henviser bredt til en standard

Salgsmateriale bliver til forventninger

Det, der står i et produktblad eller et tilbud, kan blive en del af kundens forventninger til samarbejdet. Skriver I, at produktet testes hvert kvartal, kan kunden med rette spørge efter fire rapporter om året. Skriver I, at alle fund rettes inden for en bestemt frist, kan den sætning dukke op i et kontraktudkast.

Hold derfor salgsmaterialet på linje med det, I skriver i svar til spørgeskemaer, på tillidssiden og i sikkerhedsbilaget. Samme ord, samme datoer, samme omfang. Uoverensstemmelser er lette for en kundes sikkerhedsfolk at få øje på. → Tillidsside

Hvem godkender teksten

Salgsmateriale kan blive skrevet af marketing eller sælgere, mens viden om testen ligger hos den tekniske chef eller den sikkerhedsansvarlige. Aftal, at al tekst om sikkerhedstest godkendes af den, der ejer rapporten, før den bruges. Det gælder også hjemmeside, præsentationer og opslag på sociale medier.

Læg en dato på hver tekst og gennemgå den, når der kommer en ny test. En sætning, der var sand sidste år, kan være forældet nu, hvis produktet har fået nye moduler, eller hvis testen er blevet ældre, end kunderne accepterer.

Tænk også på dem, der sælger produktet for jer. En forhandler eller en partner, der sælger under eget navn, kan bruge jeres tekster i sit eget materiale og tilpasse dem undervejs. Giv dem en godkendt formulering, som de må bruge uændret, og bed dem om at fjerne den, når I sender en ny. Ellers kan en forældet sætning om testen leve videre i materiale, som I ikke selv har overblik over. → White label → Sikkerhed som salgsargument

Et tænkt eksempel

Et softwarehus med et system til projektøkonomi har fået testet platformen. Marketing foreslår en forsideboks med teksten “Testet og godkendt af eksterne sikkerhedseksperter”.

Den tekniske chef læser forslaget og påpeger, at ingen har godkendt noget, og at testen kun dækkede webapplikationen, ikke det nye integrationsmodul. Teksten bliver ændret til: “Webapplikationen blev penetrationstestet af en uafhængig tester i foråret. Et resumé kan udleveres til kunder efter aftale.” Boksen får en dato for seneste opdatering og en henvisning til tillidssiden. Integrationsmodulet kommer med i næste test, og først derefter nævnes det i teksten.

Det skal I lade være med

Love sikkerhed · testen viser fund i en periode, ikke fravær af risiko.
Skrive godkendt eller certificeret · uden en ordning, der står bag ordet.
Bruge testerens navn uden lov · spørg først, og brug det kun som oplyst.
Udelade datoen · en udateret påstand bliver forkert med tiden.
Lade marketing skrive alene · den, der ejer rapporten, skal godkende teksten.

Hvad kan og ikke kan konkluderes

En dokumenteret test kan nævnes i salgsmaterialet og give kunderne et konkret udgangspunkt. Teksten skal kunne føres tilbage til rapportens omfang, dato og afsender. Den kan ikke bruges som bevis for, at produktet er sikkert, og den erstatter ikke de dokumenter, kunden skal bruge i sin vurdering. Om en bestemt formulering er lovlig, er en juridisk vurdering.

Kilder

Markedsføringsloven, LBK nr. 1420 af 2. december 2024: § 20, stk. 1 og 2, om handelspraksis, der er egnet til at vildlede andre erhvervsdrivende, herunder om produktets egenskaber.

Senest gennemgået: oktober 2026.