Kunden vil red teame jer: sådan aftaler I rammerne, før holdet går i gang

Når en kunde vil lade sit red team angribe jer som leverandør, er det ikke det samme som at tillade en penetrationstest af jeres løsning eller en phishing-kampagne mod jeres folk. Holdet vil arbejde skjult, over længere tid og på tværs af systemer, mennesker og bygninger, og målet er kundens, ikke jeres. Rammerne hviler på, at det er jer, der skal give tilladelsen til alt, der berører jer, og at tilladelsen skal være lige så samlet som den øvelse, den dækker.

De enkelte former for test hver for sig, når en NIS2-kunde stiller kravet, er beskrevet på nis2-pentest.dk. Her handler det om den skjulte, samlede øvelse, hvor kundens hold kan gå fra en falsk mail til jeres netværk og videre til jeres kontor, uden at jeres medarbejdere ved, at det er en øvelse.

Det, der er anderledes ved den samlede øvelse

En enkelt test har en klar afgrænsning: et system, en kampagne, en bygning. I en samlet øvelse bruger holdet det, der virker, og et skridt fører til det næste. Det rejser spørgsmål, som ingen af de enkelte test rejser:

Kæden · en adgang, holdet får via en medarbejder, kan føre ind i systemer, der ikke var nævnt i en teknisk afgrænsning.
Tiden · øvelsen kan løbe i uger, og jeres drift, ferier og ændringer fortsætter imens.
Tavsheden · næsten ingen hos jer må vide besked, heller ikke de chefer, der normalt godkender en test.
Målet · holdet skal nå kundens mål. Jeres systemer er en vej, ikke det, der skal vurderes.

Det sidste har betydning for, hvad I får ud af det. Kundens rapport handler om kunden, og fund hos jer er bifund. → Målet for øvelsen

Kundens grund til at spørge kan være forsyningskædesikkerheden, som NIS2-direktivets artikel 21, stk. 2, litra d, nævner blandt de foranstaltninger, omfattede enheder mindst skal have. Er kunden en finansiel virksomhed, der er udpeget til TLPT efter DORA artikel 26, gælder særlige regler for testen. En frivillig øvelse uden for den ramme er ikke en TLPT, og I bør spørge kunden, hvilken af de to der er tale om, før I aftaler noget. → Kundens TLPT omfatter jeres tjeneste

Tilladelsen kommer fra jer

Kunden kan ikke give lov til, at nogen skaffer sig adgang til jeres systemer eller lokaler. Straffeloven § 263, stk. 1, handler om at skaffe sig uberettiget adgang til en andens datasystem, og § 264, stk. 1, nr. 1, om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted. Begge bestemmelser handler om adgang, der er uberettiget, og derfor bør holdet have en skriftlig tilladelse fra den, der råder over systemet eller bygningen. Hvordan bestemmelserne skal forstås i jeres konkrete sag, må en jurist vurdere.

Tilladelsen bør underskrives af en person i jeres ledelse, der kan give den for hele virksomheden, og den skal nævne kundens hold ved navn. Ejer I ikke bygningen, skal udlejeren også give lov. Er jeres løsning hos en hostingpartner eller i en cloudplatform, gælder deres vilkår også. → Tilladelsesbrevet

Afgrænsningen skal dække hele kæden

Skriv afgrænsningen for de tre områder sammen, ikke hver for sig:

Systemer · hvilke af jeres systemer der må bruges som vej, og hvilke der er fredet, uanset hvordan holdet når dertil.
Medarbejdere · hvilke funktioner der må kontaktes, med hvilke kanaler, og hvilke personer der er undtaget.
Bygninger · hvilke adresser og rum der indgår, og i hvilke tidsrum.

Tilføj en regel for overgangene: Hvis holdet via en medarbejder eller en bygning når et system, der ikke står i afgrænsningen, stopper holdet og spørger. Det er netop i overgangene, at en samlet øvelse kan glide ud over det, nogen har sagt ja til. → Fredede områder

Hvem hos jer der ved besked

Udpeg én kontaktperson og en stedfortræder, der kender planen, og som kundens white team kan nå hele døgnet. Overvej, om jeres HR-ansvarlige skal orienteres, når medarbejdere indgår, og om den, der har ansvaret for jeres bygning, skal kende tidsrummet. Listen skal være kort. Hvad kontaktpersonen skal kunne, er beskrevet for sig. → Med i kundens red team-øvelse

Stopregler og jeres andre kunder

Jeres andre kunder har ikke sagt ja til noget. Kræv derfor stopregler, der gælder for hele øvelsen:

Andre kunders data · holdet stopper straks og giver jer besked, hvis oplysninger om andre kunder bliver synlige.
Fælles systemer · ingen handlinger, der kan påvirke driften for andre.
Konfrontationer · holdet trækker sig, hvis en situation med vagter eller medarbejdere udvikler sig.
Jeres stopret · I kan standse øvelsen hos jer når som helst, uden at begrunde det over for holdet.

Stopreglerne skal stå i det dokument, holdet arbejder efter, ikke kun i jeres aftale med kunden. → Stopregler

Medarbejderne og bagefter

Jeres medarbejdere er jeres ansvar, også når kundens hold kontakter dem. Aftal, at kunden og holdet ikke registrerer navne på dem, der blev narret, ud over det nødvendige, og at I selv står for at fortælle dem om øvelsen bagefter. → Medarbejderhensyn

Aftal også, hvad I får at vide. Fund om jeres systemer, medarbejdere og bygninger er jeres at rette, og I bør få dem, også selv om kundens rapport ellers er fortrolig. Aftal desuden oprydning: konti, filer og udstyr, holdet har efterladt hos jer, skal fjernes, og I skal have en liste.

Det skal I lade være med

At behandle øvelsen som tre separate test · afgrænsningen skal dække overgangene.
At lade kundens tilladelse dække jer · den skal komme fra jeres ledelse.
At glemme udlejer og hostingpartner · de skal også sige ja.
At orientere flere end nødvendigt · så bliver øvelsen ikke skjult.
At acceptere, at I ikke får fundene om jer · I skal kunne rette dem.
At undlade en stopret · I skal kunne standse holdet hos jer.

Hvad kan og ikke kan konkluderes

En samlet tilladelse med afgrænsning, stopregler og en kort liste over orienterede gør det muligt at sige ja til en skjult øvelse uden at sætte jeres andre kunder eller jeres medarbejdere på spil. Den kan ikke garantere, at intet går galt, og den afgør ikke, hvem der bærer ansvaret, hvis noget gør. Kundens rapport viser kundens forløb, ikke en vurdering af jeres sikkerhed. Teksten er ikke juridisk rådgivning. → Ansvar ved kundens red team

Tjekliste før holdet går i gang

☐ Har en person i jeres ledelse underskrevet tilladelsen?
☐ Har udlejer og hostingpartner givet lov, hvor det kræves?
☐ Dækker afgrænsningen systemer, medarbejdere, bygninger og overgangene?
☐ Er der en kontaktperson med stedfortræder, der kan nås hele døgnet?
☐ Gælder stopreglerne også i holdets eget dokument?
☐ Får I fundene om jer og en liste til oprydning?

Kilder

Straffeloven, lovbekendtgørelse nr. 1294 af 2025: § 263, stk. 1, om uberettiget adgang til en andens datasystem, og § 264, stk. 1, nr. 1, om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted.
NIS2-direktivet, direktiv (EU) 2022/2555: artikel 21, stk. 2, litra d, om forsyningskædesikkerhed.
DORA, forordning (EU) 2022/2554: artikel 26 om TLPT.

Senest gennemgået: oktober 2026.