Testklausulen i jeres kundekontrakt: hvad kan I acceptere?

En klausul om penetrationstest i kundens kontraktudkast kan se harmløs ud, men den binder softwarehuset i hele aftalens løbetid og ikke kun ved underskriften. Det, I kan acceptere, afhænger af ét spørgsmål: kan I opfylde ordlyden hvert år med det testforløb, I har eller realistisk kan få, uden at gøre en undtagelse for netop denne kunde? Hvis svaret er nej, skal ordlyden ændres, før I skriver under. Teksten er ikke juridisk rådgivning.

Kunden kan have skrevet klausulen ud fra sin egen leverandørpolitik eller en skabelon fra sin rådgiver. Så kan der være plads til en anden formulering, så længe den dækker kundens behov. Spørg, hvad kunden skal bruge klausulen til: dokumentation over for egen revisor, et krav fra kundens egne kunder eller en generel politik. Svaret viser, hvor fast ordlyden er. Køberens side af samme klausul, og hvordan kunden læser den, er beskrevet på penetrationtest.dk.

Læs klausulen som en række løfter

Del klausulen op i de enkelte forpligtelser. Hver sætning, der indeholder skal, er et løfte, som kunden kan holde jer op på. En enkelt klausul kan indeholde flere løfter på én gang.

Hvad der testes · produktet, hele virksomheden eller kun den del, kunden bruger.
Hvor ofte · en fast rytme, ved væsentlige ændringer eller begge dele.
Hvem der tester · krav om uafhængighed, kvalifikationer eller en bestemt certificering.
Hvad kunden får · hele rapporten, et resumé, et erklæringsbrev eller en bekræftelse.
Hvad der sker med fund · frister for rettelser, underretning og efterprøvning.
Kundens egen ret · om kunden selv må teste, og på hvilke betingelser.

Skriv for hvert løfte, om I allerede opfylder det, om I kan opfylde det med en mindre ændring, eller om det kræver noget, I ikke har. Det giver jer en liste at forhandle ud fra i stedet for en samlet fornemmelse af, at klausulen er for streng. → Kontrakten kræver en bestemt certificering hos testeren

Krav, I allerede opfylder

Krav, der svarer til det, I allerede gør, koster kun dokumentation. Hvis I tester produktet hvert år med en ekstern tester og har en kundeversion af rapporten, kan en klausul om årlig test og udlevering af et resumé normalt accepteres, som den står. Sørg for, at ordet årlig betyder det samme for jer og kunden. → Kontrakten kræver årlig test: sådan holder I kravet over tid

Det, I bør have ændret

Visse formuleringer kan ingen leverandør opfylde, og andre binder jer til noget, der skader de andre kunder.

Fejlfrihed · en klausul om, at produktet er uden sårbarheder, kan ingen test dokumentere.
Hele rapporten · et krav om den fulde rapport med tekniske bilag til alle kunder giver mange kopier af jeres svagheder.
Alle fund rettet · et krav om, at alle fund uanset alvorlighed er rettet inden en fast dato, tager ikke højde for risikovurdering.
Fri adgang til at teste · en ret for kunden til at teste når som helst og uden varsel kan ramme de andre kunder i et delt miljø.
Kundens valg af tester · et krav om, at kunden udpeger jeres tester, gør testen til kundens og ikke jeres.

Foreslå en formulering, der dækker kundens formål. I stedet for hele rapporten kan I tilbyde kundeversionen og et møde om fundene. I stedet for alle fund rettet kan I tilbyde rettelse efter en risikobaseret vurdering med en status til kunden. → Rettefrister, kunden vil skrive ind i kontrakten

Kundens ret til at teste

Klausulen kan give kunden ret til selv at teste produktet. Den ret kan være rimelig, også set fra jer. PCI DSS har et særskilt krav til udbydere af løsninger, der deles af flere kunder: de skal støtte deres kunder i at gennemføre den eksterne penetrationstest, som standarden kræver. Hvis kunden er omfattet af PCI DSS, kan et nej til kundetest altså stille kunden i en svær situation.

Det afgørende er betingelserne. Henvis i klausulen til jeres testpolitik, så kundens test sker med varsel, i et aftalt miljø og uden at berøre de andre kunders data. Aftal også, at fund fra kundens test meldes til jer, og at de behandles fortroligt, indtil de er rettet. Uden den sætning kan I risikere at høre om en svaghed i produktet først, når kunden nævner den i en forhandling. → En testpolitik for kunder: reglerne for deres test af produktet

Én standard for alle kunder

Hver ny klausul, I accepterer, er en ny forpligtelse at holde styr på. Ti kunder med ti forskellige testklausuler kan betyde ti forskellige definitioner af årlig, uafhængig og rettet. Jo flere særaftaler, jo større risiko for, at en af dem bliver glemt.

Overvej derfor at have jeres egen standardtekst om test, som I tilbyder i stedet for kundens. Den kan være en del af et sikkerhedsbilag, der gælder alle kunder. En kunde kan godt acceptere en leverandørs standard, når den dækker det, kunden har brug for, og når den er skrevet præcist. → Jeres egne sikkerhedsvilkår frem for kundens

Et tænkt eksempel

Et softwarehus leverer dokumenthåndtering til advokatkontorer. En ny kunde sender et kontraktudkast, hvor testklausulen kræver årlig test, udlevering af den fulde rapport og rettelse af alle fund inden for en fast frist.

Softwarehuset accepterer den årlige test, som det allerede gennemfører. Det foreslår kundeversionen i stedet for den fulde rapport og en risikobaseret rettelse med status hver måned, så længe der er åbne fund med høj alvorlighed. Kunden accepterer ændringerne, og softwarehuset noterer klausulen i sin oversigt over kundeforpligtelser.

Det skal I lade være med

Skrive under på klausulen, fordi salget haster · den gælder i hele aftalens løbetid.
Acceptere ord, der ikke er defineret · uafhængig, årlig og rettet skal betyde noget bestemt.
Love særvilkår uden at registrere dem · så bliver de glemt, når kontrakten er underskrevet.
Afvise kundens ret til at teste helt · tilbyd betingelser i stedet.
Lade sælgeren forhandle klausulen alene · den, der ejer testen, skal læse med.

Hvad kan og ikke kan konkluderes

En klausul, I kan opfylde, viser, at aftalen passer til den test, I faktisk gennemfører. Den siger ikke noget om, hvor sikkert produktet er, og den beskytter ikke mod de svagheder, testen ikke finder. Hvad klausulen betyder juridisk for ansvar og misligholdelse, er et spørgsmål til jeres egen rådgiver.

Tjekliste til testklausulen

☐ Er klausulen delt op i enkelte løfter?
☐ Har I for hvert løfte vurderet, om I opfylder det i dag?
☐ Er årlig, uafhængig og rettet defineret?
☐ Er krav om fejlfrihed eller hele rapporten foreslået ændret?
☐ Henviser kundens testret til jeres testpolitik?
☐ Er klausulen registreret i jeres oversigt over kundeforpligtelser?
☐ Har den, der ejer testen, godkendt ordlyden?

Kilder

PCI DSS krav 11, gengivet af Microsoft Learn: krav 11.4.7, hvor udbydere af løsninger med flere kunder støtter kunderne i den eksterne penetrationstest efter krav 11.4.3 og 11.4.4.

Senest gennemgået: oktober 2026.