NIS2 har fået ledelsen til at spørge IT, om virksomhedens foranstaltninger faktisk virker. For driften er det et konkret spørgsmål: holder tofaktor, adgangsstyring, backup og opdateringer, når nogen prøver at komme forbi dem? En penetrationstest kan give et afgrænset, uafhængigt svar på det spørgsmål for udvalgte systemer. Den kan ikke afgøre, om virksomheden lever op til loven, og den erstatter ikke det øvrige arbejde, direktivet beskriver.
Teksten er ikke juridisk rådgivning. Hvordan direktivet og den danske lovgivning skal læses, og hvad der gælder i leverandørkæden, er beskrevet på nis2-pentest.dk.
Hvor testen passer ind i direktivet
NIS2-direktivets artikel 21, stk. 2, nævner en række foranstaltninger, som omfattede enheder mindst skal have. En af dem, litra f, er politikker og procedurer til at vurdere effektiviteten af foranstaltningerne til styring af cybersikkerhedsrisici. Direktivet nævner ikke penetrationstest ved navn i den bestemmelse. En test er én måde blandt flere at skaffe grundlag for den vurdering.
For IT-driften er pointen enkel. Det er ikke nok, at foranstaltningerne er beskrevet og sat op. Nogen skal kunne vise, at de virker, og en test er et redskab til at efterprøve det fra en angribers udgangspunkt.
Foranstaltningerne, som testen kan efterprøve
Flere af punkterne i artikel 21, stk. 2, handler om noget, IT-driften har sat op, og som en test kan afprøve i praksis:
- Multifaktorautentificering (litra j) · om tofaktor gælder alle de steder, den skal, eller om der findes undtagelser og gamle veje udenom. → Tofaktor med undtagelser
- Adgangskontrol (litra i) · om brugere og administratorer kun kan nå det, de skal, og om konti med høje rettigheder er afgrænset.
- Backup og reetablering (litra c) · om backuppen er adskilt fra det, en angriber kan nå efter første fodfæste. → Backup og adskillelse
- Håndtering af sårbarheder (litra e) · om kendte svagheder bliver rettet, eller om de stadig kan findes udefra og indefra.
- Forsyningskædesikkerhed (litra d) · om leverandørers adgange til jeres miljø er afgrænset og lukket, når de ikke bruges.
Testen siger noget om, hvordan disse foranstaltninger holdt i de afprøvede systemer på testtidspunktet. Det er netop den slags konkret viden, en vurdering af effektiviteten har brug for.
Scope, der følger foranstaltningerne
Når testen skal bidrage til en vurdering af effektivitet, skal scope tage udgangspunkt i foranstaltningerne og ikke kun i systemlisten. Spørg for hver foranstaltning: hvor ville det mærkes, hvis den ikke virkede?
- Tofaktor · de indgange, hvor brugere og administratorer logger på udefra, og de konti, der er undtaget.
- Adgangskontrol · kataloget, cloudlejeren og de systemer, hvor rettigheder tildeles.
- Backup · adskillelsen mellem det daglige miljø og de systemer, der gemmer kopierne.
- Leverandøradgange · de forbindelser og konti, eksterne parter bruger til at nå jeres systemer.
Det giver et scope, der kan forklares over for dem, der skal bruge resultatet. Det gør det også lettere bagefter at sige, hvilke foranstaltninger der er efterprøvet, og hvilke der ikke er. Et smalt scope er ikke forkert, men fravalget skal være bevidst. Hvis testen kun dækker hjemmesiden, kan den ikke bruges til at sige noget om adgangskontrollen i det interne net, og det skal stå klart for alle, der læser rapporten.
Det, der ikke er driftens afgørelse
Spørgsmålet om, hvorvidt virksomheden er omfattet, og om det er som væsentlig eller vigtig enhed, afgøres ikke i IT-afdelingen. Det samme gælder ledelsens ansvar, styringen af risici og dokumentationen over for myndighederne. IT bidrager med tekniske oplysninger, men vurderingen ligger andre steder i organisationen.
Hold derfor testen og compliance adskilt i jeres egen kommunikation. En rapport med få fund er ikke bevis for, at virksomheden opfylder NIS2. En rapport med mange fund er heller ikke i sig selv et brud. Begge dele er input til en vurdering, som andre foretager.
Det betyder ikke, at driften skal holde sig ude af samtalen. Når testen planlægges, kan IT med fordel spørge dem, der står for vurderingen, hvilke foranstaltninger de har mest brug for at få efterprøvet. Så rammer testen det, der skal bruges, og rapporten kan indgå direkte i deres arbejde i stedet for at blive oversat bagefter.
Fra fund til foranstaltning
Direktivets artikel 21, stk. 4, beskriver, at en enhed, der konstaterer, at den ikke overholder foranstaltningerne, skal træffe korrigerende foranstaltninger uden unødigt ophold. Ordlyden skal læses i sin helhed og i den danske gennemførelse. For driften er den praktiske konsekvens, at fund ikke må blive liggende uden en plan.
- Registrer fundene · som sager med ejer og vurdering af alvor. → Fra fund til ticket
- Kobl fundet til foranstaltningen · skriv, hvilken foranstaltning fundet viser en svaghed i, så sammenhængen kan dokumenteres.
- Beslut rettelse eller accept · alvorlige fund skal have en dato eller en begrundet beslutning fra ledelsen.
- Kontrollér rettelsen · en rettelse, ingen har efterprøvet, kan ikke dokumentere effektivitet.
Det, driften skal gemme
Hvis testen skal bruges som grundlag for en vurdering, skal dokumentationen kunne findes igen. Gem rapporten, beslutningen om scope, listen over fund og status på rettelserne. Notér også, hvad der ikke blev testet og hvorfor. Den oplysning er lige så vigtig som fundene, når nogen senere spørger, hvad virksomheden har efterprøvet. → Status til ledelsen
En test er et øjebliksbillede. Overvej, hvordan effektiviteten følges mellem testene, fx ved løbende scanning og gennemgang af logning, så en enkelt rapport ikke bliver den eneste dokumentation. → Scanning mellem testene
Det skal I lade være med
- At kalde testen NIS2-godkendelse · en test dokumenterer en afgrænset undersøgelse, ikke opfyldelse af loven.
- At vælge scope efter, hvad der giver få fund · scope skal følge de foranstaltninger, der skal efterprøves.
- At afgøre omfattethed i IT · det er ikke driftens vurdering.
- At lade fund ligge uden plan · direktivet forventer korrigerende handling.
- At glemme det, der ikke blev testet · fravalg skal dokumenteres.
- At bruge én rapport som hele svaret · effektivitet skal følges løbende.
Hvad kan og ikke kan konkluderes
En test kan vise, om bestemte foranstaltninger holdt i de afprøvede systemer og fra de udgangspunkter, testeren havde. Den kan bidrage til den vurdering af effektivitet, som direktivet nævner. Den kan ikke vise, at virksomheden opfylder NIS2, at alle foranstaltninger er på plads, eller at ingen svagheder findes uden for scope.
Tjekliste for driftens bidrag
- ☐ Er det beskrevet, hvilke foranstaltninger testen skal efterprøve?
- ☐ Følger scope de foranstaltninger og ikke kun de lette systemer?
- ☐ Er hvert fund koblet til en foranstaltning?
- ☐ Har alvorlige fund en ejer, en dato eller en begrundet accept?
- ☐ Er rettelserne kontrolleret?
- ☐ Er rapport, scope, fravalg og status gemt, så de kan findes igen?
- ☐ Er der en plan for at følge effektiviteten mellem testene?
Kilder
- NIS2-direktivet (EU) 2022/2555, artikel 21, stk. 2, litra c, d, e, f, i og j: foranstaltninger, herunder politikker og procedurer til vurdering af foranstaltningernes effektivitet (litra f); artikel 21, stk. 4: korrigerende foranstaltninger uden unødigt ophold.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Logning efter testen · Betinget adgang
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
