Faserne i en TIBER‑DK‑test: fra meddelelse til erklæring

En TIBER-DK-test er ikke en øvelse, der kan planlægges på et kvartal. Den strækker sig over mere end et år, og hver fase har faste leverancer, møder og godkendelser. Gennemgangen her bygger på Danmarks Nationalbanks implementeringsdokument for TIBER-DK i version 4.1 fra januar 2025 og på de tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190.

Kort sagt har testen tre faser: forberedelse, test og afslutning. Testfasen er delt i to, først efterretning og scenarier, derefter selve red team-testen. Før den formelle start ligger en forberedende dialog, og efter afslutningen kommer en erklæring og et slutmøde. Teksten forklarer rammen og er ikke juridisk rådgivning.

Tidsrammen i dokumentet

Implementeringsdokumentet angiver en samlet varighed på cirka 60 uger. Forberedelsen sættes til 16 til 18 uger, testfasen til seks uger for efterretning og scenarier, fire uger til testplanen og mindst tolv ugers aktiv test, og afslutningen til 18 til 20 uger. Nationalbanken skriver, at nogle frister er kortere end i DORA-reglerne. Afgrænsningen skal efter forordningen ligge klar senest seks måneder efter meddelelsen, mens TIBER-DK regner med omkring 16 til 18 uger. Fristerne kan forlænges i den konkrete plan, så længe reglerne overholdes.

For en CISO betyder tallene først og fremmest, at testen binder nøglepersoner i lang tid, og at de samme personer skal holde testen hemmelig hele vejen. → Fortrolighed i TIBER-DK

Før den formelle start

Inden virksomheden får en formel meddelelse, er der ifølge dokumentet en dialog mellem Nationalbankens TIBER Cyber Team, TCT, og udpegede kontaktpersoner. Den kan ligge i forlængelse af den forrige test eller som tidlig dialog. Virksomheden opfordres til allerede her at sikre budget og ressourcer, gå i gang med indkøb, samle de interne oplysninger om kritiske eller vigtige funktioner og begynde forberedelsen af leg-ups, altså den hjælp, kontrolteamet kan give testerne, hvis de går i stå. → Leg-up

Forberedelsesfasen

Testen begynder formelt med TCT’s meddelelsesbrev. Startdatoen i brevet markerer begyndelsen af forberedelsen, og et meddelelsesmøde gennemgår krav, tidsplan og kodenavn. Derefter udarbejder virksomheden initieringsdokumenter og adfærdsregler, som TCT validerer. Det er også her, lederen af kontrolteamet formelt udpeges, og kontrolteamet etableres.

Resten af fasen handler om fire spor, der løber parallelt:

Projektplan · en detaljeret plan med møder, leverancer og godkendelser, baseret på den aftalte tidsplan.
Indkøb · valg af leverandør af trusselsefterretning og red team-testere, dokumenteret i tjeklister; TCT skal give en ikke-indsigelse, før kontrakterne underskrives.
Afgrænsning · en foreløbig liste over kritiske eller vigtige funktioner, et møde om den og til sidst et scope-dokument, som TCT godkender, og som den øverste ledelse attesterer.
Risikostyring · en dokumenteret risikovurdering, som gennemgås på et risikomøde sammen med scope-mødet.

Indkøbet er ifølge dokumentet en forudsætning for hele testen, og Nationalbanken anbefaler at begynde allerede ved meddelelsen eller før. Kontrakterne skal være underskrevet før lanceringsmødet, men deles ikke med TCT. Et lanceringsmøde markerer, at leverandørerne er på plads, og samarbejdet begynder. Her præsenterer leverandøren af trusselsefterretning og red team-testerne deres hold og tilgang, og parterne afstemmer forventninger til de kommende faser. → Kritiske eller vigtige funktioner

Testfasen: efterretning og scenarier

Leverandøren af trusselsefterretning bygger videre på en generisk trusselsrapport for den danske finanssektor, som TCT ifølge dokumentet sørger for, og som opdateres hvert år. Leverandøren udarbejder en lang liste med seks til ti udkast til scenarier. Kontrolteamet vælger mindst tre på et møde med TCT og testerne, og højst ét af de endelige scenarier må være uden for trusselsbilledet og i stedet fremadskuende.

Fasen ender i en målrettet trusselsrapport med de færdige scenarier. Rapporten skal godkendes af TCT, før den går videre til testerne. Kontrolteamet styrer informationsstrømmen, så testerne ikke får fordele, som en rigtig modstander ikke ville have.

Testfasen: red team-testen

Testerne omsætter scenarierne til en testplan, som både kontrolteamet og TCT skal godkende, også ved senere ændringer. Den aktive test varer mindst tolv uger. Hver uge holdes et fuldt statusmøde med kontrolteam, TCT, testere og efterretningsleverandør, og derudover to til fire korte statusopdateringer om ugen. → Statusmøder

Blue team ved ikke, at testen foregår. Opdager medarbejdere aktiviteterne, skal kontrolteamet foreslå tiltag, som TCT validerer, så testen kan fortsætte uden at fortroligheden brydes. Ved en ægte hændelse eller andre ekstraordinære forhold kan kontrolteamet sætte testen på pause efter dialog med TCT.

Undervejs fører kontrolteamet med fordel sin egen log over forløbet set fra virksomhedens side, og nye risici, der opstår under testen, vurderes og drøftes på statusmøderne. Leg-ups, der ikke var planlagt i testplanen, skal drøftes og godkendes, før de gives.

Afslutningsfasen

Når den aktive test er slut, får de centrale personer i blue team besked. Testerne afleverer deres rapport inden for fire uger, og blue team skriver sin egen rapport. Derefter følger en gennemspilning af forløbet, replay, og purple teaming, begge inden for ti uger efter den aktive test. → Purple teaming i TIBER-DK og TLPT

Kontrolteamet udarbejder en sammenfattende rapport og en afhjælpningsplan. Alle parter giver hinanden feedback, og TCT udsteder til sidst en erklæring om, at testen er gennemført efter kravene. Et slutmøde lukker forløbet og aftaler tidspunktet for næste test. Ledelsen deltager i første del af replay, så den får et samlet billede af testen og dens fund. → Opsummering, afhjælpningsplan og attestation

Hvad faserne kræver af sikkerhedsfunktionen

☐ Ressourcer · lederen af kontrolteamet skal bruge betydelig tid i alle faser og have en stedfortræder, der kender detaljerne.
☐ Indkøb i god tid · indkøbet kan tage længere tid end forberedelsesfasen, hvis det først begynder ved meddelelsen.
☐ Funktionsoverblik · arkitektur og forretningsprocesser for de kritiske funktioner skal kunne fremskaffes uden at afsløre testen.
☐ Dækhistorier · kontrolteamet skal have troværdige forklaringer klar, hvis blue team opdager noget.
☐ Plads til afslutningen · blue team skal have tid til sin rapport, replay og purple teaming efter måneder med almindelig drift.

Det skal I lade være med

At planlægge efter den aktive test alene · den udgør kun en del af det samlede forløb.
At udskyde afgrænsningen · scope-dokumentet bestemmer både scenarier, flag og risikovurdering.
At lade afslutningen glide · fristerne for rapporter, replay og purple teaming er fastsat i reglerne.
At se faserne som papirarbejde · godkendelserne er TCT’s måde at sikre, at testen er kontrolleret.

Hvad kan og ikke kan konkluderes

Faserne giver en fast og forudsigelig ramme for en test, der foregår på produktion og er hemmelig for forsvaret, mens den står på. De siger ikke, hvor lang tid den enkelte test tager i praksis, og de gælder kun for test i Nationalbankens program. Forskellen på rollerne er beskrevet for sig. → Roller i TIBER-DK

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: procesoversigt og varigheder (s. 9), forberedende dialog (s. 10), forberedelsesfasen (s. 11 til 22), efterretning og scenarier (s. 23 til 28), red team-test og statusmøder (s. 29 til 35), afslutningsfasen (s. 36 til 44).
Kommissionens delegerede forordning (EU) 2025/1190: artikel 9, stk. 6, om afgrænsning inden seks måneder, artikel 11, stk. 5, om mindst tolv ugers aktiv test og artikel 12, stk. 2, 4 og 5, om rapporter, replay og purple teaming.
Danmarks Nationalbank, TIBER-DK/TLPT: Nationalbankens rolle og TIBER-DK som ramme for TLPT.

Senest gennemgået: oktober 2026.