En udenlandsk kunde stiller krav efter egne regler

En kunde i et andet land kan henvise til en national ordning, en lov eller en branchestandard, som ingen hos jer har hørt om, og bede jer bekræfte, at produktet lever op til den. Svaret hviler på at finde ud af, hvad kravet konkret betyder for testen og dokumentationen, før nogen hos jer skriver under på noget.

Første skridt er derfor at spørge, ikke at love. Hvad hedder ordningen, hvem gælder den for, og hvad skal kunden konkret have fra jer? Det kan vise sig, at kunden har brug for en pentestrapport og nogle få præcise svar i et skema, og at selve ordningen retter sig mod kunden og ikke mod jer.

Kravet kan gælde kunden, ikke jer

Mange nationale regler retter sig mod virksomheder i det pågældende land eller i en bestemt sektor. Når kunden skriver kravet ind i sin leverandørstyring, bliver det til spørgsmål til jer, men det betyder ikke, at I selv er omfattet. Bed kunden henvise til den konkrete bestemmelse eller det afsnit, kravet stammer fra, og læs det selv i den officielle kilde frem for i en sammenfatning.

Skeln mellem tre situationer:

Kunden er omfattet · og skal kunne vise, at leverandørerne er vurderet.
I er selv omfattet · fordi I sælger i landet eller til en sektor med særlige regler. Det kræver rådgivning fra nogen med kendskab til landets regler.
Ordningen er frivillig · en certificering eller et mærke, som kunden foretrækker hos sine leverandører.

De tre situationer giver vidt forskellige svar. I den første leverer I dokumentation til kundens vurdering. I den anden har I en selvstændig forpligtelse. I den tredje er det en forretningsbeslutning, om I vil søge certificeringen.

Et eksempel på en national ordning

Storbritanniens Cyber Essentials er udviklet af det britiske NCSC, som beskriver ordningen som det minimumsniveau for cybersikkerhed, regeringen anbefaler til organisationer af alle størrelser. Ordningen dækker grundlæggende tekniske kontroller: firewalls, sikker konfiguration, opdateringer, adgangsstyring og beskyttelse mod skadelig software. Den er en certificering, ikke en penetrationstest. En pentestrapport kan derfor ikke stå i stedet for certifikatet, og certifikatet kan heller ikke stå i stedet for en test af produktet.

Eksemplet viser, hvorfor det betaler sig at læse ordningen, før I svarer. Kunden beder måske om en bestemt certificering, men vil acceptere en pentest og en beskrivelse af jeres kontroller i en overgang, eller omvendt. Den slags fremgår ikke altid af den første mail. → Cyber Essentials og andre udenlandske ordninger

Oversæt kravet til det, I kan levere

Når I kender ordningen, så sammenhold kravet med det, I allerede har: seneste pentestrapport, svar fra tidligere skemaer, politikker og eventuelle certificeringer. Lav en kort oversigt med kravets punkter i den ene side og jeres dokumentation i den anden. Hvor der er huller, så skriv det, og skriv, hvad I har tænkt jer at gøre ved dem.

Oversigten hjælper både kunden og jer. Den viser, at I har læst kravet ordentligt, og den forhindrer, at et uklart ja i et skema senere bliver læst som en bekræftelse af fuld overholdelse. Gem den, for den næste kunde fra samme land stiller sandsynligvis lignende spørgsmål. → Svar, I ikke kan dokumentere

Sprog og form på dokumentationen

En udenlandsk kunde læser ikke nødvendigvis dansk. Findes rapporten kun på dansk, kan et resumé eller et erklæringsbrev på engelsk være en løsning, men aftal det med testeren, så det er testeren, der står inde for indholdet. En oversættelse, I selv laver af testerens konklusioner, skal tydeligt fremstå som jeres egen. Vælg helst sproget allerede ved bestillingen, hvis I ved, at rapporten skal bruges uden for Danmark. → Rapport på dansk eller engelsk

Kunden kan også have krav til testerens kvalifikationer, der henviser til nationale ordninger. Det britiske NCSC anbefaler fx, at britiske statslige organisationer bruger testere og firmaer fra CHECK-ordningen. Et krav af den type kan være svært for en dansk tester at opfylde. Det er bedre at sige det tidligt og spørge, om kunden vil acceptere andre kvalifikationer, end at opdage det, når rapporten er leveret. → Kunden spørger, hvem der testede

Kontrakten og lovvalget

Udenlandske kunder kan sende deres egne kontraktskabeloner med sikkerhedsbilag, der henviser til deres egen lovgivning. Læs bilaget lige så omhyggeligt som spørgsmålene i skemaet, og få juridisk hjælp, hvis det pålægger jer pligter efter regler, I ikke kender. Teksten her er ikke juridisk rådgivning. Vær særligt opmærksom på krav om underretning, revision og test, fordi de binder jer i hele aftalens løbetid. Spørg også, hvilket lands ret der gælder, og hvor en eventuel tvist skal afgøres. → Sikkerhedsbilaget til kundekontrakten

Et tænkt eksempel

Et dansk softwarehus med et system til styring af kursusforløb får en henvendelse fra en hollandsk uddannelsesinstitution. Kundens indkøbsafdeling sender et skema, der henviser til en national ramme for informationssikkerhed i sektoren, og beder om bekræftelse af, at produktet opfylder den. Softwarehuset spørger, hvilke afsnit der er relevante for en leverandør, og får en kortere liste tilbage. Den viser sig at handle om adgangsstyring, logning, kryptering og dokumentation for en uafhængig test. Softwarehuset sender sin seneste rapport som engelsk resumé fra testeren, en oversigt over listens punkter med henvisninger til egen dokumentation og en kort beskrivelse af to punkter, der endnu ikke er på plads, med en plan for hvert. Ordet overholdelse indgår ikke i svaret. Kunden kan selv vurdere, om dokumentationen er tilstrækkelig.

Det skal I lade være med

Bekræfte overholdelse af en ordning, I ikke har læst · et ja i skemaet binder jer.
Gætte på kravets betydning ud fra navnet · find den officielle kilde.
Lade en pentest stå for en certificering · det er to forskellige ting.
Oversætte testerens konklusioner uden at markere det · kunden skal kunne se, hvem der siger hvad.
Vente med kravene til testeren · afklar dem, før testen bestilles.

Hvad kan og ikke kan konkluderes

En pentestrapport viser, hvad testeren fandt i produktet på et bestemt tidspunkt. Den viser ikke, at I lever op til en udenlandsk ordning, og den kan ikke erstatte en certificering, kunden kræver. Det, I kan dokumentere, er de konkrete punkter, som rapporten og jeres øvrige materiale faktisk dækker.

Tjekliste til krav fra en udenlandsk kunde

☐ Har I fået navnet på ordningen og den konkrete bestemmelse?
☐ Har I læst kravet i den officielle kilde?
☐ Ved I, om kravet gælder kunden, jer selv eller er frivilligt?
☐ Findes der en oversigt over kravets punkter og jeres dokumentation?
☐ Er sproget på rapport eller erklæring aftalt med testeren?
☐ Er kundens krav til testerens kvalifikationer afklaret før bestillingen?
☐ Har nogen med juridisk indsigt læst kontraktens sikkerhedsbilag?

Kilder

NCSC (UK): Cyber Essentials: ordningen er udviklet af NCSC, anbefales af den britiske regering som minimumsniveau og dækker fem grundlæggende tekniske kontroller.
NCSC (UK): Penetration testing: NCSC anbefaler, at britiske statslige organisationer bruger testere og firmaer fra CHECK-ordningen.

Senest gennemgået: oktober 2026.