Kravet om red teaming står i kontrakten: hvad har I forpligtet jer til?

En klausul om red teaming i en kundekontrakt kan dække over tre helt forskellige løfter, og som leverandør skal I vide, hvilket af dem I har skrevet under på. Svaret hviler på ordlyden: om I har lovet at lade kunden angribe jer, at deltage i kundens egen øvelse eller selv at gennemføre en øvelse og dokumentere den. De tre løfter kræver noget forskelligt af jeres ledelse, jeres medarbejdere og jeres andre kunder.

Ordet red teaming er ikke nødvendigvis defineret i kontrakten. Det kan stå i et bilag om informationssikkerhed, i en liste over kundens revisionsrettigheder eller i en sætning om, at leverandøren “medvirker til kundens sikkerhedstest”. Hvordan I svarer kunden, før kontrakten er underskrevet, er beskrevet for sig. → Kundens spørgsmål om red teaming

Hvorfor klausulen står der

Kunden kan have et grundlag i reglerne for at stille krav til sine leverandører. NIS2-direktivets artikel 21, stk. 2, litra d, nævner forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere, blandt de foranstaltninger, omfattede enheder mindst skal have. Gennemførelsesforordning (EU) 2024/2690 nævner i bilagets punkt 5.1.4, litra e, retten til audit eller retten til at modtage auditrapporter som noget, kontrakter med leverandører kan indeholde, hvor det er relevant.

I finanssektoren er grundlaget mere præcist. Efter DORA, forordning (EU) 2022/2554, artikel 30, stk. 3, litra d, skal en kontrakt om IKT-tjenester, som understøtter kritiske eller vigtige funktioner, forpligte udbyderen til at deltage i kundens TLPT og samarbejde fuldt ud om den. Kravet gælder kun den trusselsbaserede test efter artikel 26 og 27, ikke enhver øvelse, kunden kalder red teaming. Står klausulen i en kontrakt med en finansiel kunde, kan den være skrevet med netop den bestemmelse i tankerne. → Kundens TLPT omfatter jeres tjeneste

De tre løfter, klausulen kan rumme

Læs klausulen og spørg, hvilket af disse løfter den giver:

I tåler at blive angrebet · kunden eller kundens hold må bruge jeres systemer, medarbejdere eller bygninger som en del af kundens scenarie. → Kunden vil red teame jer
I deltager i kundens øvelse · I stiller en kontaktperson, giver adgang til logs og hjælper kundens white team, når kundens forsvar afprøves, og jeres tjeneste er en del af det forsvar. → Med i kundens red team-øvelse
I gennemfører selv en øvelse · I skal med et bestemt interval lade jeres egen organisation afprøve og give kunden en form for dokumentation.

En klausul kan rumme flere af løfterne på én gang. Det er ikke i sig selv et problem, men hvert løfte skal have sine egne vilkår. Skriv jeres egen læsning ned og send den til kunden, så I ved, om I er enige om, hvad der er lovet, før den første øvelse bliver varslet.

Det, der skal præciseres

Uanset hvilket løfte der er tale om, er der punkter, som en klausul om red teaming kan lade stå åbne. Gå dem igennem med den, der ejer sikkerheden hos jer, og med jeres jurist:

Definitionen · hvad der forstås ved red teaming, og om en penetrationstest eller en phishing-kampagne også opfylder kravet.
Omfanget · om systemer, medarbejdere og bygninger alle kan indgå, eller kun en del.
Varslingen · hvor længe før en øvelse I får besked, og hvem hos jer der modtager den.
Hvem der udfører · kundens egne folk, en leverandør, kunden vælger, eller en, I godkender.
Hyppigheden · én gang i kontraktens løbetid, med et fast interval eller efter kundens skøn.
Omkostningerne · hvem der betaler for jeres tid som kontaktperson og for en eventuel oprydning.
Resultaterne · hvad I får at se om jeres egen del, og hvem kunden må dele det med.
Underleverandørerne · om løftet også skal gælde dem, I selv har lagt opgaver ud til.

Det sidste punkt er let at overse. Bilaget til forordning 2024/2690 nævner i punkt 5.1.4, litra g, krav vedrørende underentreprise. Har I lovet kunden noget på vegne af en hostingpartner eller en cloududbyder, kan I ikke holde løftet uden deres accept.

Jeres andre kunder

En øvelse for én kunde kan berøre de systemer og medarbejdere, der også betjener andre. Klausulen bør derfor give jer ret til at afgrænse eller afvise den del af en øvelse, der kan påvirke andre kunders drift eller data. DORA anerkender selv hensynet: artikel 30, stk. 3, litra e, nr. ii, nævner retten til at nå til enighed om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes. Bestemmelsen handler om kundens overvågning og revision, men den viser, at en sådan begrænsning ikke er urimelig at bede om.

Når I selv skal gennemføre en øvelse

Et løfte om at gennemføre en red team-øvelse hos jer selv er det mest omfattende af de tre. Spørg, hvad kunden vil vide. Hvis kunden vil have dokumentation for, at jeres tjeneste er testet, kan en penetrationstest eller en mere afgrænset øvelse være et bedre svar end en fuld skjult øvelse. Det kan I foreslå, før kontrakten låses. → Alternativer til kundens krav

Aftal også, hvad kunden får bagefter. Resultatet af en øvelse beskriver en vej ind i jeres organisation og er mere følsomt end en pentestrapport. Et resumé eller en bekræftelse fra den, der gennemførte øvelsen, kan være nok. → Dokumentation til kunden Hvordan en softwareleverandør læser en almindelig testklausul, er beskrevet på pentestrapport.dk.

Det skal I lade være med

At skrive under på et udefineret ord · aftal, hvad red teaming betyder i kontrakten.
At love noget på vegne af underleverandører · de skal selv sige ja.
At glemme de andre kunder · klausulen bør give jer ret til at afgrænse.
At lade salget forhandle klausulen alene · sikkerhedsfunktionen og jura skal læse med.
At acceptere ubegrænset adgang til resultaterne · aftal, hvad kunden må få og dele.
At antage, at klausulen er en TLPT · det afhænger af kunden, tjenesten og ordlyden.

Hvad kan og ikke kan konkluderes

En præcis klausul gør det klart, hvilket løfte I har givet, og hvad det koster jer i tid og risiko. Den kan ikke i sig selv afgøre, om kunden er omfattet af NIS2 eller DORA, eller om jeres tjeneste understøtter en kritisk eller vigtig funktion hos kunden. Det er kundens vurdering. Teksten er ikke juridisk rådgivning.

Tjekliste til klausulen

☐ Ved I, om klausulen handler om at tåle, deltage eller selv gennemføre?
☐ Er red teaming defineret?
☐ Er omfang, varsling og hyppighed beskrevet?
☐ Er det aftalt, hvem der betaler for jeres medvirken?
☐ Har I ret til at afgrænse af hensyn til andre kunder?
☐ Har underleverandørerne accepteret det, I lover på deres vegne?
☐ Er det aftalt, hvad kunden får at se, og hvem den må dele det med?

Kilder

NIS2-direktivet, direktiv (EU) 2022/2555: artikel 21, stk. 2, litra d, om forsyningskædesikkerhed.
Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra e og g, om ret til audit og krav vedrørende underentreprise i kontrakter med leverandører.
DORA, forordning (EU) 2022/2554: artikel 30, stk. 3, litra d, om udbyderens deltagelse i kundens TLPT, og litra e, nr. ii, om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes.

Senest gennemgået: oktober 2026.