Opsummering, afhjælpningsplan og attestation efter TLPT

Når den aktive del af en trusselsbaseret penetrationstest er slut, begynder det arbejde, som myndighederne skal se. Virksomheden skal aflevere en sammenfatning af resultaterne og en plan for at rette dem, og myndigheden udsteder en erklæring om, at testen er gennemført efter kravene. Reglerne står i DORA artikel 26, stk. 6 og 7, og er uddybet i artikel 12 til 14 og bilag VII og VIII i de tekniske reguleringsstandarder, Kommissionens delegerede forordning (EU) 2025/1190.

Kort fortalt dokumenterer de tre leverancer forskellige ting. Den sammenfattende rapport beskriver, hvad der skete, afhjælpningsplanen beskriver, hvad virksomheden vil gøre, og erklæringen bekræfter, at processen er fulgt. Ingen af dem siger, at virksomheden er sikker. Gennemgangen er ikke juridisk rådgivning.

Hvad DORA kræver

Efter artikel 26, stk. 6, skal virksomheden, når testen er afsluttet og der er enighed om rapporter og udbedringsplaner, forelægge myndigheden en sammenfatning af de relevante resultater, udbedringsplanerne og dokumentation for, at testen er gennemført efter kravene. Hvor det er relevant, gør de eksterne testere det sammen med virksomheden.

Efter stk. 7 forelægger myndigheden en erklæring, der bekræfter, at testen er gennemført i overensstemmelse med kravene. Formålet er gensidig anerkendelse mellem myndighederne. Virksomheden underretter sin kompetente myndighed om erklæringen, sammenfatningen og planerne og har fortsat det fulde ansvar for virkningen af testen. → DORA-TLPT forklaret

Hvem skriver hvad

I TIBER-DK har kontrolteamet ansvaret for både den sammenfattende rapport og afhjælpningsplanen. Grundlaget er red teams og blå teams rapporter, trusselsrapporten, scope-dokumentet og risikodokumentationen, og konklusionerne fra replay og purple teaming går direkte ind i rapporten.

Implementeringsdokumentet beskriver også en vigtig arbejdsdeling. Kontrolteamet bør ikke ændre testernes konklusioner i red team-rapporten, selv om det er uenigt. Uenigheden kan i stedet komme til udtryk i den sammenfattende rapport. Nationalbankens team gennemgår red teams og blå teams rapporter hos virksomheden og gemmer dem ikke selv. Det er den sammenfattende rapport, afhjælpningsplanen og erklæringen, virksomheden er forpligtet til at sende videre til sin kompetente myndighed. → Red team-rapporten

Den sammenfattende rapport

Efter standardernes artikel 12, stk. 7, skal den sammenfattende rapport sendes til myndigheden inden for otte uger efter, at myndigheden har meddelt, at red teams og blå teams rapporter indeholder de krævede oplysninger. Bilag VII fastsætter mindsteindholdet, bl.a.:

Rammen · de involverede parter, projektplanen og det validerede omfang med begrundelse for valg og fravalg af funktioner.
Forløbet · udvalgte scenarier, angrebsveje, opnåede og ikke opnåede flag, afvigelser fra testplanen, brugte leg-ups og purple teaming under testen.
Forsvaret · blå teams eventuelle opdagelser og de risikostyringsforanstaltninger, der blev truffet.
Fund · sårbarheder og andre konstateringer med deres kritikalitet, analyse af grundlæggende årsager og en overordnet plan for udbedring.
Læring · erfaringer fra den feedback, parterne har givet hinanden.

Nationalbankens implementeringsdokument for TIBER-DK tilføjer, at rapporten ikke bør indeholde detaljerede tekniske oplysninger om fund og sårbarheder, fordi de er meget følsomme. Myndigheden kan også bede om, at følsomme oplysninger holdes ude af rapporten. → Afrapportering til direktion og bestyrelse

Afhjælpningsplanen

Efter artikel 13, stk. 1, skal udbedringsplanen og dokumentationen sendes til myndigheden og til virksomhedens kompetente myndighed, hvis de er forskellige, senest otte uger efter samme meddelelse. For hvert resultat skal planen efter stk. 2 indeholde:

en beskrivelse af manglerne
de foreslåede tiltag, deres prioritet og forventede afslutning, herunder tiltag til at forbedre evnen til at identificere, beskytte, opdage og reagere
en analyse af de grundlæggende årsager
de medarbejdere eller funktioner, der har ansvaret
risikoen ved ikke at gennemføre tiltagene og, hvor det er relevant, risikoen ved at gennemføre dem

Det sidste punkt er værd at bemærke. Planen skal ikke kun liste rettelser, men også forholde sig til, hvad det koster i risiko at lade være, og hvad en rettelse selv kan forstyrre. → Rodårsager efter red teaming

I TIBER-DK skriver dokumentet, at planen bør bruges til at understøtte business casen for forbedringer, og at den kan bygge på input fra efterretningsleverandøren og testerne. Nationalbankens team følger ikke op på planen efter testen. De kompetente myndigheder kan ifølge dokumentet følge op på resultatet, herunder planen.

Erklæringen

Erklæringens indhold står i standardernes bilag VIII. Den skal bl.a. angive start- og slutdato, de kritiske funktioner i testens omfang og dem, der ikke blev testet, andre deltagende virksomheder og udbydere, om der blev brugt interne testere og varigheden af red teams testfase i kalenderdage. Har flere myndigheder været involveret, udsteder den ledende myndighed erklæringen.

I TIBER-DK udsteder Nationalbankens team erklæringen, når alle rapporter og afhjælpningsplanen er godkendt. Den underskrives af myndigheden, og den øverste ledelse i virksomheden kvitterer for modtagelsen. Virksomheden skal sende erklæringen videre til sin kompetente myndighed. Kvitteringen betyder, at erklæringen lander hos den ledelse, der også bærer ansvaret for opfølgningen. Ifølge dokumentet giver erklæringen grundlag for, at andre myndigheder kan anerkende testen, hvis det bliver nødvendigt.

Hvad erklæringen ikke er

Betragtning 61 i DORA er tydelig. Erklæringer fra myndighederne har udelukkende til formål at give gensidig anerkendelse. De udelukker ikke opfølgende tiltag mod den IKT-risiko, virksomheden er udsat for, og de skal ikke ses som en tilsynsmæssig godkendelse af virksomhedens evne til at styre og begrænse IKT-risiko. Nationalbankens dokument beskriver testen som et øjebliksbillede af bestemte scenarier og ikke en samlet vurdering. → Når resultatet bliver læst forkert

Opfølgning hos CISO’en

DORA artikel 24, stk. 5, kræver i forvejen procedurer for at prioritere, klassificere og afhjælpe problemer fra test og interne metoder til at validere, at svagheder er afhjulpet fuldt ud. Afhjælpningsplanen fra en TLPT skal derfor ind i den almindelige styring og ikke leve sit eget liv.

☐ Ejere · har hvert tiltag en navngiven ansvarlig funktion?
☐ Prioritet · er tiltagene prioriteret efter risiko og ikke efter, hvad der er nemt?
☐ Validering · hvordan dokumenterer I, at et tiltag virker?
☐ Ledelse · ser ledelsen status på planen ved siden af andre risici?

Arbejdet med ejere på tværs af afdelinger er beskrevet for sig. → Handlingsplan efter red teaming

Det skal I lade være med

At skrive tekniske detaljer ind i den sammenfattende rapport · de hører til red teams og blå teams rapporter.
At bruge erklæringen som sikkerhedsgodkendelse · den bekræfter, at testen fulgte kravene.
At lade planen mangle risikovurdering · risikoen ved ikke at rette skal stå der.
At glemme fristerne · de løber fra myndighedens meddelelse om rapporterne.

Hvad kan og ikke kan konkluderes

De tre leverancer gør resultatet af en TLPT sporbart for myndighederne og giver ledelsen et samlet billede af fund og tiltag. De siger ikke, at virksomheden er sikker, og erklæringen lukker ikke fundene. Det gør først opfølgningen. → Opfølgning efter øvelsen

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 24, stk. 5, artikel 26, stk. 6 og 7, og betragtning 61.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 12, stk. 7, artikel 13, artikel 14, bilag VII og bilag VIII.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: myndighedernes opfølgning og øjebliksbillede (s. 6, note 8), red team-rapport og blå teams rapport (s. 36 til 38), sammenfattende rapport (s. 40 og 41), afhjælpningsplan (s. 41), erklæring (s. 43).

Senest gennemgået: oktober 2026.