Interne testere i TLPT: betingelserne i DORA og RTS

En finansiel virksomhed med sit eget red team kan spørge, om holdet må gennemføre den lovpligtige trusselsbaserede penetrationstest, TLPT. Svaret er ja, men på skærpede betingelser, og ikke for alle. Reglerne står i DORA artikel 26, stk. 8, og artikel 27, stk. 2, og de er uddybet i artikel 15 i de tekniske reguleringsstandarder, Kommissionens delegerede forordning (EU) 2025/1190.

Kort fortalt skal brugen af interne testere godkendes af myndigheden, virksomheden skal have afsat tilstrækkelige ressourcer og undgå interessekonflikter, efterretningsleverandøren skal være ekstern, og hver tredje test skal gennemføres med eksterne testere. Signifikante kreditinstitutter må slet ikke bruge interne testere. Teksten forklarer reglerne og er ikke juridisk rådgivning.

Hvem der overhovedet kan bruge interne testere

Udgangspunktet i artikel 26, stk. 8, er, at virksomheden indgår kontrakt med testere i overensstemmelse med artikel 27. Bruger den interne testere, skal den indgå kontrakt med eksterne testere ved hver tredje test. Kreditinstitutter, der er klassificeret som signifikante efter bankunionens tilsynsforordning, må kun bruge eksterne testere.

Betragtning 61 i DORA forklarer tanken bag. Forordningen vil gøre det muligt at udnytte de ressourcer, virksomheden selv har, men kun med tilsynsmæssig godkendelse, uden interessekonflikter og med et regelmæssigt skift mellem interne og eksterne testere. Ansvaret for testen bliver fuldt ud hos virksomheden.

I Nationalbankens implementeringsdokument for TIBER-DK er eksterne testere udgangspunktet, og interne testere er en mulighed, når strenge krav er opfyldt, og Nationalbankens TIBER Cyber Team har godkendt det. Hensigten er ifølge dokumentet, at interne testere skal kunne gennemføre testen lige så effektivt og sikkert som eksterne, uden at virksomhedens sikkerhed eller aktiviteter bringes i fare. → Krav til testere i DORA artikel 27

De tre betingelser i artikel 27, stk. 2

Interne testere skal opfylde de samme fem krav som eksterne i artikel 27, stk. 1. Derudover skal virksomheden efter stk. 2 sikre, at:

Godkendelse · brugen er godkendt af den kompetente myndighed eller den fælles offentlige myndighed for TLPT, i Danmark Nationalbanken.
Ressourcer og konflikter · myndigheden har efterprøvet, at virksomheden har afsat tilstrækkelige ressourcer og sikret, at interessekonflikter undgås, mens testen udformes og gennemføres.
Ekstern efterretning · formidleren af trusselsefterretninger er ekstern i forhold til virksomheden.

Det sidste krav betyder, at selv en virksomhed med en stærk intern efterretningsfunktion skal købe efterretningsdelen udefra. De tekniske standarder definerer efterretningsleverandøren som ekstern både i forhold til virksomheden og til eventuelle koncerninterne IKT-udbydere.

Det, de tekniske standarder kræver

Artikel 15 i standarderne kræver tre ordninger. Virksomheden skal have en politik for, hvordan interne testere styres i et TLPT-forløb. Den skal sikre, at brugen af interne testere ikke svækker virksomhedens generelle evne til at forsvare sig eller komme igen efter hændelser og ikke trækker væsentligt på de ressourcer, der ellers bruges til IKT-opgaver. Og den skal sikre, at de interne testere har tilstrækkelige ressourcer og kapaciteter.

Politikken skal efter artikel 15 bl.a.:

indeholde kriterier for at vurdere de interne testeres egnethed, kompetence og mulige interessekonflikter og angive ledelsesansvaret i testprocessen
være dokumenteret og revideres regelmæssigt
fastsætte, at det interne hold består af en testleder og mindst to andre medlemmer
kræve, at alle på holdet har været ansat i virksomheden eller hos en koncernintern IKT-udbyder i de foregående tolv måneder
indeholde bestemmelser om uddannelse af de interne testere i penetrationstest og red team-test

Kravene minder om DORA’s almindelige regel for alle test i artikel 24, stk. 4, hvor interne testere også er tilladt, når der er afsat tilstrækkelige ressourcer, og interessekonflikter undgås. Forskellen er, at TLPT kræver myndighedens godkendelse på forhånd og en skreven politik.

Når myndigheden godkender interne testere, tager den hensyn til de krav, standardernes artikel 7 stiller til eksterne testere, herunder erfaring og holdsammensætning. → Eget red team

Hvem tæller som intern

To regler er værd at kende. Efter artikel 15, stk. 4, betragtes testere, der er ansat hos en koncernintern IKT-udbyder, som interne testere. Og efter betragtning 27 tæller et hold, der blander interne og eksterne testere, som en test med interne testere i forhold til reglen om hver tredje test. Nationalbankens dokument gentager det sidste: et blandet hold er brug af interne testere.

Det betyder, at en virksomhed ikke kan opfylde kravet om eksterne testere ved at supplere sit eget hold med nogle få eksterne konsulenter.

Dokumentation og forløb

Brugen af interne testere skal efter artikel 15, stk. 3, fremgå af oplysningerne om indledning af testen, af red team-rapporten og af den sammenfattende rapport. Myndighedens erklæring efter testen skal ifølge standardernes bilag VIII også oplyse, om der blev brugt interne testere.

I TIBER-DK skal virksomheden sende en konkret ansøgning til TCT for den enkelte test. Dokumentet anbefaler at nævne ønsket allerede i den forberedende dialog før den formelle meddelelse. Begrundelsen er praktisk: bliver ansøgningen ikke godkendt, skal der nås at købe eksterne testere ind, før forberedelsesfasen er slut. → Faserne i en TIBER-DK-test

Afvejningen for CISO’en

Et internt red team kender virksomheden, og det kan være en styrke. Men i en TLPT skal testen være hemmelig for forsvaret, og det interne hold arbejder til daglig tæt på de mennesker, det nu skal teste. Spørgsmålene er derfor både praktiske og organisatoriske:

☐ Fortrolighed · kan holdet arbejde i måneder uden at kolleger i blue team opdager, at en test er i gang?
☐ Ressourcer · hvem løser holdets almindelige opgaver, mens testen står på?
☐ Konflikter · har holdet været med til at bygge de kontroller, det nu skal afprøve?
☐ Rytme · hvornår falder den test, hvor der skal bruges eksterne testere?
☐ Plan B · er der tid og budget til eksterne testere, hvis myndigheden ikke godkender ansøgningen?

Fortrolighedsreglerne er beskrevet for sig. → Fortrolighed i TIBER-DK

Det skal I lade være med

At planlægge med interne testere uden godkendelse · myndigheden skal sige ja, og det sker for hver test.
At tro, at eksterne konsulenter på holdet gør testen ekstern · et blandet hold tæller som internt.
At bruge egen efterretningsfunktion som leverandør · formidleren skal være ekstern.
At glemme hver tredje test · rytmen skal ligge i den langsigtede plan.

Hvad kan og ikke kan konkluderes

Reglerne gør det muligt at bruge et internt red team i TLPT, men stiller krav, der ligner kravene til eksterne testere, og lægger en myndighedsgodkendelse ovenpå. De siger ikke, at et internt hold er bedre eller dårligere end et eksternt, og de gælder kun for TLPT. Bruger I jeres interne hold til frivillige øvelser, gælder disse regler ikke, men spørgsmålene om fortrolighed og konflikter er de samme. → Blue team

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 24, stk. 4, artikel 26, stk. 8, første og andet afsnit, artikel 27, stk. 1 og 2, og betragtning 61.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 10, om formidler af trusselsefterretninger, artikel 15 om interne testere, betragtning 27 om blandede hold og bilag VIII om erklæringens indhold.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: interne testere og hver tredje test (s. 8), ansøgning og tidligt indkøb (s. 17).

Senest gennemgået: oktober 2026.