Før en kommende TLPT: hvad sikkerhedsfunktionen selv kan forberede

Når en finansiel virksomhed ved eller forventer, at Nationalbanken vil bede om en TLPT, er det fristende at vente på den formelle meddelelse. Det kan blive dyrt i tid, fordi forberedelsesfasen har faste frister, og fordi meget af arbejdet ligger hos virksomheden selv. Svaret her hviler på DORA artikel 26, de tekniske reguleringsstandarder for TLPT og Nationalbankens implementeringsdokument for TIBER-DK. Kort sagt kan sikkerhedsfunktionen forberede organisering, ledelsens opbakning, overblik over funktioner og systemer, leverandørforhold, indkøb og risikostyring, uden at testens fortrolighed kommer i fare. Gennemgangen er ikke juridisk rådgivning, og den beskriver ingen rolle for eksterne rådgivere i selve testen.

Fristerne begynder ved meddelelsen

Efter standardernes artikel 9, stk. 1, indleder en udpeget virksomhed testen, når TLPT-myndigheden meddeler, at den skal gennemføres. Senest tre måneder efter meddelelsen skal virksomheden efter stk. 2 sende bl.a. et projektcharter med en overordnet plan, kontaktoplysninger på lederen af kontrolteamet, oplysninger om brugen af interne eller eksterne testere, kommunikationskanaler og et kodenavn. Senest seks måneder efter meddelelsen skal dokumentet om afgrænsning af anvendelsesområdet efter stk. 6 være indsendt, og det skal være godkendt af virksomhedens ledelsesorgan.

Fristerne er standardernes udsagn om en TLPT, ikke en generel regel for red teaming. De viser, at arbejdet med at finde de rette personer og oplysninger skal være i gang, før meddelelsen kommer. → Hvem skal gennemføre TLPT?

Dialogen før meddelelsen

Implementeringsdokumentet beskriver en forberedende dialog mellem Nationalbankens TIBER Cyber Team og virksomhedens kontaktpersoner, før den formelle meddelelse sendes. Dialogen kan ligge i forlængelse af en tidligere test eller komme i stand tidligt på anden vis. Dokumentet opfordrer virksomheden til i god tid at sætte sig ind i TIBER-DK, sikre budget og ressourcer, begynde indkøbet, have interne oplysninger om kritiske eller vigtige funktioner og systemer klar og begynde at forberede leg-ups. Samtidig understreger dokumentet, at kendskabet til testen skal holdes på need to know, også i forhold til virksomhedens ledelse. → Faserne i en TIBER-DK-test

Lederen af kontrolteamet

Den vigtigste personbeslutning er lederen af kontrolteamet. Efter standardernes artikel 4, stk. 1, har lederen ansvaret for den daglige ledelse af testen og for kontrolteamets beslutninger. Implementeringsdokumentet forventer en erfaren person med gode evner inden for projektledelse og kommunikation, mandat til at styre alle sider af testen og adgang til direktionen. Rollen kræver ifølge dokumentet betydelig tid i alle faser, og mindst ét andet medlem skal kende detaljerne godt nok til at træde til.

For CISO’en er spørgsmålet, om rollen skal ligge i sikkerhedsfunktionen, i operationel risiko eller et andet sted. Dokumentet nævner både kendskab til virksomheden, placering, anciennitet og adgang til direktionen som hensyn. Afklar også, hvem der overtager lederens øvrige opgaver i testens løbetid. → Roller i TIBER-DK

Ledelsesorganets rolle

Ledelsen er ikke en tilskuer. Efter standardernes artikel 4, stk. 2, litra a, hører ledelsesorganet til den lille kreds, der må kende til en planlagt eller igangværende test. Efter artikel 9, stk. 4, litra b, skal kontrolteamet holde ledelsesorganet orienteret om fremskridt og risici, og efter stk. 6 skal ledelsesorganet godkende afgrænsningen af testen.

Det kræver, at bestyrelse og direktion forstår, hvad de godkender: hvilke funktioner der er med, at testen foregår på produktion, og hvilke risici kontrolteamet har vurderet. Planlæg derfor, hvordan ledelsen orienteres, og hvem i ledelsen der skal kende til testen. Implementeringsdokumentet lægger op til, at også kendskabet i ledelsen holdes på need to know. Aftal samtidig, hvordan punktet behandles på møder, så dagsordener og referater ikke afslører testen for en bredere kreds.

Et kontrolteam, der kan træffe beslutninger

Kontrolteamet skal efter dokumentet være så lille som muligt og samtidig dække cyber, operationel risiko, forretning samt projekt- og testledelse. Det skal have overblik over forretningsområder, teknisk landskab og sikkerhedsniveau og adgang til toppen af eskaleringskæden for sikkerhedshændelser, så det kan holde en eskalering under kontrol, hvis testen bliver opdaget. Nationalbanken validerer sammensætningen.

Forbered derfor en kort liste over mulige medlemmer og overvej, hvem der bevidst skal blive uden for, fordi de er en del af det forsvar, testen skal måle. → Fortrolighed i TIBER-DK

Funktioner, systemer og leverandører

Efter DORA artikel 26, stk. 2, identificerer virksomheden de systemer, processer og teknologier, der understøtter de kritiske eller vigtige funktioner, også dem, der er outsourcet. Standardernes artikel 9, stk. 7, nævner de kriterier, virksomheden skal tage hensyn til ved valget af funktioner, bl.a. funktionens betydning for sektoren, for den daglige forretning, muligheden for at erstatte den og trusselsefterretning om den. Implementeringsdokumentet beder kontrolteamet lave en foreløbig liste over funktionerne og de underliggende kritiske systemer. → Kritiske eller vigtige funktioner

Hvis leverandører kan komme med i testen, har virksomheden efter artikel 26, stk. 3, ansvaret for at sikre deres deltagelse. Gennemgå derfor i god tid, hvad kontrakterne med de vigtigste IKT-leverandører siger om test, og hvem hos leverandøren der skal kunne inddrages fortroligt. → IKT-tredjepartsudbydere i TLPT

Indkøb og risikostyring

Virksomheden vælger selv sin leverandør af trusselsefterretning og sine testere. Artikel 27 i DORA og artikel 7 i standarderne stiller krav, som kontrolteamet efter artikel 9, stk. 11, skal vurdere og dokumentere, før der indgås kontrakt. Det omfatter bl.a. dokumentation for erfaring, referencer og forsikring. Et indkøb med de krav tager tid, og det skal være afsluttet, før testfasen begynder. Overvejer virksomheden interne testere, gælder særlige betingelser, og implementeringsdokumentet forventer, at ansøgningen til Nationalbanken er sendt og vurderet, når virksomheden udarbejder sine indledende dokumenter til testen. → Krav til testere i DORA artikel 27

Risikovurderingen efter standardernes artikel 5 er også et arbejde, der kan forberedes. Den skal bl.a. dække adgang til følsomme oplysninger, eskalering af kriser og hændelser og risikoen for, at systemer ikke bliver fuldt gendannet. Eksisterende beredskabsplaner og eskaleringsveje er et naturligt udgangspunkt.

Det skal I lade være med

At bruge forberedelsen som anledning til at stramme forsvaret op · testen skal måle det forsvar, der findes.
At orientere for bredt · alle, der kender til testen, falder uden for den del af organisationen, testen måler.
At vente med indkøbet til efter meddelelsen · kravene til udbydere skal dokumenteres, før kontrakten indgås.
At lade ledelsesorganet møde afgrænsningen første gang ved godkendelsen · forbered ledelsen på dens rolle tidligt.

Hvad kan og ikke kan konkluderes

En god forberedelse giver plads til, at forberedelsesfasen kan bruges på afgrænsning, risiko og scenarier i stedet for på at finde personer og oplysninger. Forberedelsen afgør ikke, om virksomheden bliver udpeget, og den ændrer ikke testens krav. Det er Nationalbanken, der udpeger, validerer og udsteder erklæringen.

☐ Kandidat til leder af kontrolteamet og en stedfortræder er fundet.
☐ Ledelsesorganet kender sin rolle i godkendelsen af afgrænsningen.
☐ En foreløbig liste over kritiske eller vigtige funktioner og systemer findes.
☐ Kontrakter med centrale IKT-leverandører er gennemgået for test.
☐ Budget, ressourcer og indkøb er planlagt.

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 2 og 3, om omfang og leverandører og artikel 27 om krav til testere.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 4, stk. 1 og 2, om lederen af kontrolteamet og need to know, artikel 5 om risikostyring, artikel 7 om udvælgelse af udbydere og artikel 9, stk. 1, 2, 4, 6, 7, 9 og 11, om forberedelsesfasen.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: dialogen før meddelelsen (s. 10), lederen af kontrolteamet og kontrolteamet (s. 13), interne testere (s. 14) og den foreløbige liste over funktioner (s. 15).

Senest gennemgået: oktober 2026.