NIS2‑omfattet virksomhed: hvor red teaming kan passe ind

En væsentlig eller vigtig enhed under NIS2 skal kunne vurdere, om dens sikkerhedsforanstaltninger virker, og spørgsmålet er, om en red team-øvelse hører til i det arbejde. Svaret hviler på direktivets artikel 21, den danske NIS 2-lovs § 6 og gennemførelsesforordning (EU) 2024/2690: ingen af dem kræver red teaming, men de beder om test, øvelser og en vurdering af effektiviteten, som en frivillig øvelse kan give materiale til. Øvelsen er et redskab, I kan vælge, ikke et krav, I skal opfylde.

Leverandørens side, hvor kravet kommer fra en kunde, er beskrevet på nis2-pentest.dk. Her er læseren CISO’en i den enhed, der selv er omfattet.

Hvad direktivet og loven beder om

Artikel 21, stk. 1, i NIS2-direktivet kræver passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Stk. 2 siger, at de skal bygge på en tilgang, der omfatter alle farer og beskytter net- og informationssystemer og deres fysiske miljø. Opregningen omfatter blandt andet håndtering af hændelser (litra b), driftskontinuitet og krisestyring (litra c), politikker og procedurer til vurdering af effektiviteten (litra f) samt personalesikkerhed og adgangskontrol (litra i).

NIS 2-loven gentager listen i § 6, stk. 1. Hverken direktivet eller loven nævner testformer. Det er op til enheden at vælge, hvordan effektiviteten vurderes, ud fra risikoen. Det fysiske miljø og personalet er med i opregningen, og det er netop de to områder, hvor en øvelse kan nå længere end en teknisk test. → Det spørgsmål, ledelsen vil have besvaret

Gennemførelsesforordningen som pejlemærke

Forordning (EU) 2024/2690 fastsætter efter artikel 1 de tekniske og metodologiske krav for bestemte digitale udbydere, bl.a. cloud, datacentre, administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser og tillidstjenester. Hører I til dem, er bilaget bindende. Gør I ikke, kan det bruges som et konkret bud på, hvad artikel 21 kan betyde i praksis.

Betragtning 15 nævner penetrationstest, sårbarhedsscanning, applikationstest, konfigurationstest og sikkerhedsaudits som eksempler på sikkerhedstest. Red teaming står ikke på listen. Bilaget indeholder til gengæld krav om at teste og øve, der ligger tæt på det, en øvelse afprøver.

Fire steder, hvor en øvelse kan give materiale

Bilaget til forordning 2024/2690 har fire punkter, hvor resultatet af en red team-øvelse kan bruges som dokumentation for, at noget er afprøvet:

Punkt 3.5.5 · enheden tester med planlagte mellemrum sine procedurer for reaktion på hændelser. En skjult øvelse viser, om procedurerne bliver brugt, når ingen ved, at der øves. → Opdagelse, eskalering og reaktion
Punkt 4.3.4 · krisestyringsplanen testes, gennemgås og ajourføres regelmæssigt. Hvis krisestaben spiller med, får planen en realistisk prøve. → Krisestab og ledelse i øvelsen
Punkt 8.1.3 · bevidstgørelsesprogrammet testes for effektivitet, hvor det er relevant. Social engineering i øvelsen viser, om programmet har ændret adfærd.
Punkt 13.3.3 · foranstaltningerne til fysisk adgangskontrol testes og gennemgås regelmæssigt. Et fysisk element i øvelsen afprøver dem i drift. → Fysisk adgang i red teaming

Ingen af punkterne nævner red teaming, og alle kan opfyldes på andre måder, fx med en tabletop eller en åben test. Øvelsen er en mulighed blandt flere. Dens særlige bidrag er, at de fire områder afprøves samtidig og i sammenhæng, så det bliver synligt, om en svaghed ét sted bliver fanget et andet sted, eller om den slipper igennem hele vejen.

Sådan skrives øvelsen ind i testpolitikken

Punkt 6.5.2 i bilaget beder enheden om at fastlægge behovet for, omfanget af, hyppigheden af og typen af sikkerhedstest på grundlag af risikovurderingen, at teste efter en dokumenteret metode og at dokumentere type, omfang, tid og resultater med en vurdering af hvert fund. Punkt 7.2 beder om at fastlægge, hvad der skal måles, med hvilke metoder, hvornår og af hvem.

En red team-øvelse passer ind, hvis den beskrives på samme måde som de øvrige test. Skriv i politikken, hvilket spørgsmål øvelsen skal besvare, hvilke foranstaltninger den måler, og hvordan resultatet føres tilbage til risikovurderingen. Så bliver øvelsen en del af vurderingen af effektivitet og ikke et løsrevet projekt. → Red teaming i sikkerhedsprogrammet

Et tænkt eksempel: En vigtig enhed i fødevaresektoren har et testprogram med årlige penetrationstest af netbutik og kontornet og en tabletop for krisestaben. Risikovurderingen peger på, at en modstander, der kommer ind via en medarbejders konto, er den mest sandsynlige alvorlige hændelse. CISO’en foreslår en afgrænset red team-øvelse med netop det udgangspunkt og skriver i testpolitikken, at den skal måle, om overvågningen opdager misbrug af en gyldig konto, og om reaktionsproceduren bliver fulgt. Resultatet indgår i den årlige vurdering af effektiviteten sammen med de øvrige test, og fundene får ejere i handlingsplanen.

Hyppigheden skal også begrundes ud fra risikoen. Hverken loven eller forordningen fastsætter en frekvens for øvelser. → Hvor ofte giver red teaming mening?

Hvad øvelsen ikke erstatter

En red team-øvelse går ad få veje mod et mål. Den siger ikke noget om de systemer, holdet ikke rørte, og den erstatter ikke den løbende sårbarhedshåndtering eller de penetrationstest, der afdækker svagheder i bredden. I en NIS2-sammenhæng er det vigtigt, fordi effektivitetsvurderingen skal dække alle foranstaltningerne, ikke kun dem, øvelsen ramte.

Ledelsesorganet skal efter NIS 2-lovens § 7 godkende foranstaltningerne og føre tilsyn med dem. Hvordan en øvelse kan indgå i ledelsens arbejde, er beskrevet for sig. → Ledelsesansvar og red teaming

Det skal I lade være med

At skrive red teaming ind som et NIS2-krav · hverken direktivet, loven eller forordningen kræver det.
At lade øvelsen stå uden for testpolitikken · beskriv den som de øvrige test.
At bruge en vellykket øvelse som bevis for hele effektiviteten · den dækker de veje, den tog.
At springe den brede test over, fordi der er planlagt en øvelse · de besvarer forskellige spørgsmål.
At glemme det fysiske miljø og personalet · de er med i artikel 21, og det er dér, øvelsen kan tilføje mest.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan dokumentere, at reaktionsprocedurer, krisestyring, bevidstgørelse og fysisk adgangskontrol er afprøvet under realistiske forhold. Den kan ikke vise, at enheden opfylder NIS2, og den kan ikke stå alene som vurdering af foranstaltningernes effektivitet. Teksten er ikke juridisk rådgivning.

Tjekliste for den NIS2-omfattede enhed

☐ Har I afklaret, om forordning 2024/2690 er bindende for jer eller et pejlemærke?
☐ Står øvelsen i testpolitikken med formål, omfang og begrundelse?
☐ Er det beskrevet, hvilke foranstaltninger øvelsen måler?
☐ Føres resultatet tilbage til risikovurderingen?
☐ Er de brede test planlagt ved siden af øvelsen?
☐ Er det dokumenteret, at øvelsen er frivillig og valgt ud fra risiko?

Kilder

NIS2-direktivet (EU) 2022/2555: artikel 21, stk. 1 og 2, herunder litra b, c, f og i.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, og § 7.
Gennemførelsesforordning (EU) 2024/2690: artikel 1, betragtning 15 og bilagets punkt 3.5.5, 4.3.4, 6.5.2, 7.2, 8.1.3 og 13.3.3.

Senest gennemgået: oktober 2026.