CBEST, TIBER‑NL og andre landes rammer: når koncernen møder flere modeller

En dansk finanskoncern med selskaber i udlandet kan opleve, at en myndighed i et andet land taler om en trusselsbaseret red team-test efter sin egen ramme. Svaret på, hvordan rammerne forholder sig til hinanden, hviler på et skel: de nationale udgaver af TIBER-EU bygger på samme europæiske grundlag, mens den britiske ramme CBEST er udviklet af de britiske myndigheder og står for sig selv.

Rammerne deler den grundlæggende idé: efterretning om relevante trusler bliver til scenarier, et eksternt hold afprøver dem mod de systemer, der bærer vigtige funktioner, og en lille kontrolgruppe hos virksomheden styrer forløbet i samarbejde med myndigheden. Forskellene ligger i, hvem der tager initiativet, hvilke krav leverandørerne skal opfylde, og hvordan resultatet bliver anerkendt. Gennemgangen er en forklaring og ikke juridisk rådgivning.

CBEST: den britiske model

CBEST er beskrevet i en implementeringsvejledning fra Bank of England, udarbejdet af Prudential Regulation Authority, i en udgave fra 2024. Ifølge vejledningen har CBEST siden 2014 været en del af værktøjskassen hos Bank of England, Prudential Regulation Authority og Financial Conduct Authority til at vurdere cyberrobustheden hos virksomheder og finansielle markedsinfrastrukturer. Vejledningen kalder selv rammen vejledende og ikke en detaljeret, foreskrivende metode. Den forklarer ikke, hvad navnet står for.

Nogle træk er værd at kende:

Myndighedsledet · vejledningen beskriver CBEST som en vurdering, myndighederne leder og fører tilsyn med hele vejen.
Anledningen · en virksomhed kan blive anmodet om en CBEST som led i tilsynet, selv bede om den i samråd med myndigheden eller blive bedt om den efter en hændelse.
Fire faser · initiering, trusselsefterretning, penetrationstest og afslutning, hvor afhjælpningsplanen gøres færdig.
Akkrediterede leverandører · både leverandøren af trusselsefterretning og testleverandøren skal være akkrediteret til CBEST, og vejledningen henviser til CREST som akkrediteringsorgan.
Kontrolgruppe · virksomheden udpeger en lille gruppe af ledende personer og en koordinator, og myndigheden skal godkende ændringer i gruppen.

Vejledningen oplyser, at myndighederne ser en gennemsnitlig varighed på omkring 9 til 12 måneder, men advarer selv mod at bruge tallet som en fast plan. Efter testene samler myndighederne de tværgående fund i en periodisk tematisk rapport, så sektoren kan lære af dem uden at se den enkelte virksomheds resultater.

TIBER-NL: hvor TIBER begyndte

De Nederlandsche Bank udviklede TIBER-NL i 2016 for at kunne simulere cyberangreb under kontrollerede forhold og afprøve institutionernes evne til at reagere. Den Europæiske Centralbank og andre centralbanker byggede senere TIBER-EU på den hollandske tilgang. Ifølge De Nederlandsche Bank kan en institution hverken bestå eller dumpe en test; formålet er at finde styrker, svagheder og forbedringer.

I dag henviser De Nederlandsche Bank på sin side om TIBER til TIBER-EU-rammen til TLPT og til sit eget implementeringsdokument. Siden beskriver også gold teaming som et valgfrit tillæg, der øver krisestyringen. For en dansk koncern betyder det, at en test i Holland i grove træk følger samme struktur som en test efter TIBER-DK, men med hollandske dokumenter, kontaktpersoner og eventuelle lokale tillæg. → TIBER-EU

De Nederlandsche Bank omtaler testene som frivillige. For en virksomhed, som myndigheden har udpeget til TLPT efter DORA artikel 26, er testen derimod et krav, og TIBER-rammen er en af måderne at gennemføre den på. Den hollandske side om frivillige test kan derfor ikke læses som et svar på, om et hollandsk datterselskab skal testes.

Det fælles europæiske grundlag

TIBER-EU-rammen fra januar 2025 har som et af sine mål at støtte test på tværs af grænser og rammer for virksomheder, der er til stede i flere lande, og at fremme gensidig anerkendelse af test mellem jurisdiktionerne. Grundlaget for anerkendelsen er en attestation, som testlederen fra myndigheden underskriver efter testen.

De tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190, siger i betragtning 1, at virksomheder omfattet af TLPT kan henvise til og anvende TIBER-EU eller en national udgave af den, i det omfang rammen er i overensstemmelse med kravene i DORA og standarderne. Inden for EU er TIBER-DK og TIBER-NL dermed to udgaver af samme model. → TIBER-DK forklaret

CBEST står uden for den konstruktion. Vejledningen nævner, at en CBEST kan gennemføres på tværs af jurisdiktioner i samarbejde med andre landes myndigheder og rammer, og at de britiske myndigheder i så fald aftaler samarbejdet ved starten. Om en CBEST kan indgå i en EU-myndigheds vurdering eller omvendt, er et spørgsmål til de myndigheder, det angår.

Forskelle, der mærkes hos CISO’en

For sikkerhedsfunktionen er forskellene mest praktiske:

Hvem der kalder testen · tilsynets anmodning i Storbritannien, udpegning efter DORA i EU.
Krav til leverandører · CBEST-akkreditering for britiske test, kravene i DORA og standarderne for TLPT i EU.
Navne på roller · kontrolgruppe i CBEST, kontrolteam i TIBER og TLPT; ansvaret ligner hinanden, men dokumenterne er forskellige.
Skabeloner og rapporter · hver ramme har sine egne dokumenter, og de kan ikke uden videre flyttes mellem test.
Tidsplan · faserne har forskellige navne og indhold i vejledningerne, så en fælles plan skal bygges op fra hver rammes egne krav.
Anerkendelse · TIBER-EU bygger på attestation og deling af resultater; for CBEST skal det afklares med myndighederne.

Koncernens egne spørgsmål

En koncern med selskaber i flere lande skal først skabe overblik: hvilket selskab er under hvilken myndighed, og hvilke vigtige funktioner er fælles på tværs. Derefter kan det vurderes, om fælles systemer bør testes én gang i samarbejde mellem myndighederne, eller om hvert land kræver sin egen test. Trusselsbilledet kan delvist genbruges, men en ramme kan stille krav om sin egen efterretningsrapport. Fortroligheden skal holde på tværs af selskaber, der måske har hver sin SOC. Rækkefølgen betyder også noget: ligger to test tæt på hinanden, kan forsvaret have lært af den første, før den anden begynder. → Red teaming i en koncern

Når testen skal planlægges på tværs af EU-lande, er koordineringen mellem myndighederne reguleret i standarderne. → TLPT i en koncern med selskaber i flere EU-lande

Det skal I lade være med

At antage, at en ramme dækker de andre · anerkendelse kræver, at myndighederne er enige.
At genbruge dokumenter på tværs uden tilpasning · rammerne har hver deres skabeloner.
At vælge leverandør efter én rammes krav · krav til akkreditering og kvalifikationer er forskellige.
At glemme lokale regler for medarbejdere og bygninger · rammerne ændrer ikke national lovgivning. → Øvelse på tværs af lande og lokationer

Hvad kan og ikke kan konkluderes

Rammerne bygger på samme idé om trusselsbaseret red teaming under myndighedens opsyn, og TIBER-NL og TIBER-DK hviler på samme europæiske ramme. Det betyder ikke, at en test efter én ramme automatisk opfylder en anden. Det afgøres af de myndigheder, der er involveret, ud fra den konkrete test.