Cyber Essentials og andre udenlandske ordninger i kundekrav

Når en kunde i Storbritannien eller Tyskland skriver navnet på en national ordning ind i sine krav, står softwarehuset med et dokument, det ikke kender, og en pentestrapport, der ikke nævner ordningen. Spørgsmålet er, om rapporten kan bruges, eller om kunden vil have noget andet. Svaret hviler på at læse ordningen hos den myndighed, der ejer den, og på at skelne mellem en certificering af jeres organisation, en erklæring om jeres cloudtjeneste og en test af produktet. De tre kan supplere hinanden, men ingen af dem kan stå i stedet for de andre.

Læs ordningen hos ejeren

En national ordning er ejet af en myndighed eller en organisation, som beskriver, hvad den omfatter, hvem den er til, og hvordan den opnås. Den beskrivelse er det eneste, I kan bygge et svar på. Kundens egen gengivelse eller en leverandørs markedsføring er ikke nok.

Notér for hver ordning tre ting: hvem der ejer den, om den gælder organisationen eller en bestemt tjeneste, og hvem der kontrollerer, at kravene er opfyldt. Det er de tre spørgsmål, der afgør, om en pentestrapport overhovedet hører til svaret. Gem noterne i jeres svarbibliotek med dato og link til ejerens beskrivelse. Næste kunde fra samme land nævner måske samme ordning, og så kan svaret genbruges, efter at I har tjekket, at beskrivelsen ikke er ændret siden. Hvordan I generelt griber en kunde med krav efter egne regler an, er beskrevet for sig. → Den udenlandske kunde

Cyber Essentials og Cyber Essentials Plus

Cyber Essentials er udviklet af det britiske National Cyber Security Centre, og certificeringen administreres gennem en leveringspartner, som NCSC har udpeget. Ordningen bygger på fem tekniske kontroller: firewalls, sikker konfiguration, styring af sikkerhedsopdateringer, styring af brugeradgang og beskyttelse mod skadelig software.

NCSC beskriver to niveauer. Det grundlæggende niveau kombinerer en selvvurdering med en uafhængig gennemgang. Cyber Essentials Plus dækker de samme fem kontroller, men tilføjer ifølge NCSC en grundigere, uafhængig teknisk afprøvning af, at kontrollerne virker i praksis.

For et softwarehus er det vigtige, at ordningen handler om grundlæggende it-hygiejne i organisationen. Det er ikke en gennemgang af produktets funktioner, roller eller adskillelse mellem kunder. En britisk kunde, der beder om Cyber Essentials, kan derfor have brug for både certifikatet og en pentest af produktet. Omvendt kan en kunde, der nævner ordningen i et skema, nøjes med at vide, om I har certifikatet, og få produktets test belyst gennem andre spørgsmål. Spørg, hvad kunden skal bruge svaret til, før I sætter en certificering i gang. → Kontornettet og produktet

C5 til tyske cloudkunder

En tysk kunde kan nævne C5, Cloud Computing Compliance Criteria Catalogue. Kataloget udgives af det tyske forbundskontor for informationssikkerhed, BSI, og fastlægger ifølge BSI minimumskrav til sikker cloud computing. Det er først og fremmest skrevet til professionelle cloududbydere, deres revisorer og deres kunder.

C5 opnås ikke ved et certifikat fra BSI. Udbyderen lader en revisor efter eget valg undersøge, om kriterierne er opfyldt, og revisor udarbejder en rapport efter internationale standarder med en beskrivelse af udbyderens system. BSI udvælger ikke revisorer og kontrollerer ikke rapporterne. BSI angiver, at kataloget er revideret i 2025 og 2026, så spørg kunden, hvilken udgave der menes.

Det minder i formen om de revisorerklæringer, der er beskrevet for sig. En pentestrapport kan indgå som dokumentation for jeres kontroller, men er ikke en C5-rapport. → ISAE 3402 og ISAE 3000

Hvad pentestrapporten kan bruges til

Rapporten er ikke et certifikat og ikke en erklæring, men den kan stadig være nyttig over for en udenlandsk kunde. Den kan vise, at produktet er testet af en uafhængig tester, hvad der var med, og hvad status er på fundene. For en kunde, der vurderer jer op imod en national ordning, kan det være dokumentation for en del af ordningens krav eller et supplement i en overgang, mens I overvejer en certificering.

Sig det præcist. Skriv ikke, at rapporten svarer til Cyber Essentials Plus eller til en C5-rapport. Skriv, hvad den dækker, og spørg, om kunden kan bruge den til den del af vurderingen, der handler om produktet. → Pentestrapporten som bevis

Hvornår en certificering giver mening

En national ordning er en forretningsbeslutning. Vurder, hvor mange kunder i landet der spørger, om ordningen er et krav eller et ønske, og hvad det kræver at opnå og holde den. Undersøg, om noget af det, I allerede har, fx en ISO 27001-certificering, kan genbruges, eller om ordningen stiller sine egne krav.

Spørg også kunden, om der er en overgangsordning. Nogle kunder kan acceptere en pentestrapport og en plan for certificering i den første aftaleperiode. Det skal stå i aftalen, så det ikke bliver glemt. → Forhandling af sikkerhedskrav

Et tænkt eksempel

Et softwarehus sælger et system til planlægning af vagter i plejesektoren. En britisk kunde kræver Cyber Essentials Plus, og en tysk kunde spørger, om softwarehuset har en C5-rapport.

Softwarehuset læser begge ordninger hos ejerne. Det konstaterer, at Cyber Essentials Plus handler om organisationens grundlæggende kontroller, og beslutter at søge certificeringen, fordi flere britiske kunder er i pipelinen. Den tyske kunde får at vide, at der ikke foreligger en C5-rapport, og får i stedet kundeversionen af pentestrapporten og softwarehusets ISO 27001-certifikat. Kunden accepterer det for første aftaleår.

Det skal I lade være med

Svare ud fra navnet alene · læs ordningen hos den myndighed, der ejer den.
Kalde pentestrapporten en certificering · den er en testrapport.
Forveksle organisation og produkt · Cyber Essentials handler om organisationens it.
Antage, at BSI udsteder C5 · en revisor undersøger, og BSI kontrollerer ikke rapporterne.
Love en certificering på en dato · tidsplanen afhænger af ordningen og af jer.

Hvad kan og ikke kan konkluderes

En pentestrapport kan vise kunden, hvad en uafhængig test af produktet fandt. Den kan ikke dokumentere, at I opfylder Cyber Essentials, C5 eller en anden national ordning, og en certificering af organisationen kan omvendt ikke dokumentere, at produktet er testet. Om en ordning er et krav, I selv er omfattet af, eller et ønske fra kunden, er et spørgsmål til kunden og eventuelt en rådgiver med kendskab til landet. Teksten er ikke juridisk rådgivning.

Tjekliste, når kunden nævner en udenlandsk ordning

☐ Har I læst ordningen hos den myndighed eller organisation, der ejer den?
☐ Ved I, om ordningen gælder organisationen eller en bestemt tjeneste?
☐ Ved I, hvem der kontrollerer, at kravene er opfyldt?
☐ Har I spurgt, hvilken udgave kunden henviser til?
☐ Siger jeres svar præcist, hvad pentestrapporten dækker?
☐ Er en eventuel overgangsordning skrevet ind i aftalen?

Kilder

NCSC (UK): Cyber Essentials: ordningen er udviklet af NCSC med en leveringspartner; fem tekniske kontroller; Cyber Essentials Plus med grundigere, uafhængig teknisk afprøvning.
BSI: Kriterienkatalog C5: minimumskrav til sikker cloud computing; til cloududbydere, revisorer og kunder; revisor efter udbyderens valg; BSI udvælger ikke revisorer og kontrollerer ikke rapporter; revideret 2025/26.

Senest gennemgået: oktober 2026.