...
Måske er I slet ikke selv omfattet af NIS2. Men en af jeres kunder er, og den kunde skal kunne vise, at risikoen ved sine leverandører er vurderet. Pludselig ligger der et kravbilag, et brev eller et sikkerhedsspørgeskema, hvor I bliver bedt om at dokumentere en penetrationstest.
Jeg tester det, kunden reelt er afhængig af hos jer, og giver jer et resultat, der kan sendes videre.
NIS2 pålægger de omfattede virksomheder at sikre deres forsyningskæde og at vurdere, om deres sikkerhedstiltag virker. En test hos leverandøren er én af de måder, kunden kan få svar på. Det er derfor jeres aftale med kunden, der bestemmer, hvad I konkret skal levere.
Læs kravet grundigt, før I bestiller noget. Et NIS2-brev blander ofte test, politikker, hændelser og kundens ret til revision sammen. Testen skal kun dække testkravet, og er formuleringen uklar, er det helt rimeligt at spørge kunden, hvad testen skal belyse.
En test kan indgå i kundens dokumentation. Den kan ikke alene dokumentere, at reglerne er overholdt, hverken hos jer eller hos kunden, og jeg lover ikke noget om udfaldet af kundens vurdering eller et tilsyn. Jeg giver heller ikke juridisk rådgivning. Spørgsmål om, hvorvidt I selv er omfattet, og om ledelsesansvar og styring, hører under en NIS2-audit.
Testen samler sig om de punkter, hvor en svaghed hos jer kan forplante sig til kundens systemer og oplysninger:
Testfeltet i et spørgeskema bliver ofte besvaret med et kort ja, og så kommer opfølgningsspørgsmålene. Med rapporten i hånden kan I i stedet oplyse omfang, testtype, tidspunkt, testerens navn og status på fundene. Det svar kan kunden bruge direkte i sin egen leverandørvurdering.
Er det kun en del af leverancen, der er testet, så skriv det. Et præcist svar holder også, når kunden senere beder om at se rapporten.
Mange kunder skriver, at testen skal udføres af en uafhængig tredjepart, uden at ordet er forklaret. Spørg kunden, hvad der menes. Ofte handler det om, at testeren ikke selv har bygget eller driver det, der testes.
Rådgivningen er uvildig og uafhængig. Nielco IT har ikke indgået forhandleraftaler med leverandører, og det, jeg anbefaler jer at rette, er valgt alene ud fra jeres leverance. Har jeg tidligere løst opgaver for jer, kan det fremgå af dokumentationen, så kunden selv kan tage stilling.
Erfaringen bag testen er mere end 30 år med IT-sikkerhed, også i finanssektoren, i offentlige myndigheder og i kritisk infrastruktur. Jeg underskriver gerne en fortrolighedsaftale.
Hvordan opgaverne prissættes, står under pris og tilbud.
Ring på 70 13 63 23 eller udfyld formularen.
Så tager vi en snak om kundens krav, og hvad testen skal dække.
