Teleselskaber: red teaming under sektorens egne sikkerhedsregler

Hos en teleudbyder kan en red team-øvelse ramme mere end virksomheden selv, fordi nettet bærer andres kommunikation, nødopkald og myndighedernes beredskab. Svaret på, hvordan øvelsen skal rammes ind, hviler på telesektorens egne regler: lov nr. 435 af 6. maj 2025 om sikkerhed og beredskab i telesektoren og bekendtgørelse nr. 621 af 2. juni 2025 om risikostyring og sikkerhed i telesektoren. Ingen af dem kræver red teaming, men de bestemmer, hvad der skal fredes, og hvem der skal kunne skelne øvelsen fra en beredskabssituation.

Retsinformation.dk viser loven som gældende. Efter NIS 2-lovens § 1, stk. 2, finder NIS 2-loven ikke anvendelse på enheder, så langt teleloven omfatter dem. Leverandørernes side af reglerne er beskrevet på nis2-pentest.dk. Teksten er ikke juridisk rådgivning.

Hvorfor tele har sin egen lov

Teleloven gælder efter § 1 for teleudbydere, der med et kommercielt formål stiller offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester til rådighed i Danmark. Loven samler sikkerhed og beredskab: kapitel 2 indeholder foranstaltningerne, kapitel 4 handler om beredskabssituationer og andre ekstraordinære situationer, og efter § 17 fører Styrelsen for Samfundssikkerhed tilsyn.

Opregningen i § 5, stk. 1, ligner NIS2-kravene. Nr. 2 er håndtering af hændelser, nr. 3 er driftskontinuitet og krisestyring, og nr. 6 er politikker og procedurer til vurdering af foranstaltningernes effektivitet. Det er under de punkter, en frivillig øvelse kan give materiale. → Det, red teaming afprøver

Hvad bekendtgørelsen siger om test og øvelse

Bekendtgørelse nr. 621 er mere konkret end loven. Fire bestemmelser er relevante for en øvelse:

§ 12 · roller og ansvar for håndtering af hændelser skal være kendt og øvet af relevant personel.
§ 13, stk. 3 · væsentlige og vigtige udbydere skal regelmæssigt gennemføre relevante tekniske test for at afdække potentielle sårbarheder, med sårbarhedsscanninger som eksempel.
§ 10 · logning og monitorering skal sikre sporbarhed, logfilerne skal gennemgås regelmæssigt, og væsentlige udbydere skal bruge centraliserede og automatiserede løsninger til logopsamling og identifikation af hændelser.
§ 9 · sikringsplaner for kritiske netkomponenter, systemer og værktøjer skal tage stilling til blandt andet fysisk adgangskontrol, perimetersikring og videoovervågning, og der skal være et responsberedskab.

En red team-øvelse er ikke nævnt, og et krav om test, der afdækker sårbarheder, er ikke det samme som et krav om en skjult øvelse. Men øvelsen kan vise, om de øvede roller virker, når ingen ved, at der øves, og om logningen faktisk fører til, at nogen reagerer. → Blinde vinkler

Netintegritet: hvor flaget skal sættes

Bekendtgørelsens § 15 kræver en hensigtsmæssig adskillelse mellem udbyderens net, herunder produktions-, administrations-, styrings- og testnet. Den adskillelse er et naturligt mål for en øvelse: Kan en modstander, der starter i administrationsnettet, nå styringen af nettet?

Selve kernenet, radionet og de systemer, der driver dem, hører på listen over fredede områder. Holdet kan dokumentere, at det kunne nå styringsnettet, uden at udføre handlinger dér. Aftal på forhånd, hvilket bevis der er nok, og hvem i netdriften der skal godkende det. → Systemer, der ikke må røres

Den fysiske side følger samme logik. Sikringsplanerne efter bekendtgørelsens § 9 dækker de kritiske netkomponenter, og det kan være centraler, teknikhuse og master. Nogle af dem deler udbyderen med andre, eller de står på lejet grund. Vil I afprøve den fysiske adgang, så vælg et sted, hvor I selv kan give tilladelsen, og hvor et alarmudkald ikke sætter gang i en udrykning, der tager ressourcer fra den rigtige drift. Holdets opgave er at vise, at døren kunne åbnes, ikke at gå ind til udstyret. → Fysisk adgang i red teaming

Kundernes kommunikation er ikke en del af målet

En teleudbyder behandler indhold og oplysninger om andres kommunikation. Det skal stå klart i rules of engagement, at holdet ikke må tilgå indholdet af kunders kommunikation, heller ikke for at bevise et fund. Hvis holdet når et system, hvor sådanne oplysninger findes, stopper det og melder til white team.

Afklar med juridisk afdeling og databeskyttelsesrådgiveren, hvad holdet må se af kundeoplysninger, og hvordan utilsigtet indsigt håndteres og dokumenteres. Det skal også fremgå, hvem der må se rapportens bilag, og hvor længe logs og skærmbilleder fra øvelsen gemmes. → Persondata i øvelsen

Beredskab og indberetning

Teleloven har to pligter, som white team skal planlægge efter. Efter § 8, stk. 2, skal teleudbydere underrette Styrelsen for Samfundssikkerhed og CSIRT’en om væsentlige hændelser. Efter § 13, stk. 3, skal væsentlige og vigtige udbydere underrette styrelsen, når udbyderen aktiverer sit beredskab, eller bliver bekendt med en hændelse, der vurderes at kunne føre til en beredskabssituation.

En skjult øvelse kan få blue team til at eskalere mod netop de beslutninger. Derfor skal der være en kort vej fra den, der vurderer, om beredskabet skal aktiveres, til white team, så en øvelse ikke ender som en indberetning, og så en reel hændelse heller ikke afvises som øvelse. Overvej, om krisestaben skal spille med, eller om eskaleringen stoppes ved en aftalt grænse. → Hændelsesrapportering i øvelsen

Efter lovens § 13, stk. 4, skal udbydere, der udsender offentlige advarsler, sikre uafbrudt transmission af dem. Systemerne bag hører til de fredede områder.

Holdet og sikkerhedsgodkendelser

Lovens § 16 kræver, at medarbejdere og repræsentanter for væsentlige og vigtige udbydere sikkerhedsgodkendes af Styrelsen for Samfundssikkerhed, når det er nødvendigt i forhold til adgang til klassificeret information eller de funktioner, de varetager. Kan scenariet føre holdet i nærheden af sådan information eller sådanne funktioner, skal det afklares, før øvelsen starter, om området skal holdes ude, eller hvad der i givet fald kræves. → Red team-holdet

Det skal I lade være med

At læse NIS2-vejledninger som grundlaget · teleudbyderen måles efter teleloven og bekendtgørelse nr. 621.
At lade holdet handle i kernenet eller radionet · flaget sættes ved grænsen.
At tillade adgang til kunders kommunikation som bevis · det er ikke en del af målet.
At lade beredskabsbeslutninger være uden forbindelse til white team · det kan føre til en unødig underretning.
At glemme systemerne til offentlige advarsler · de skal fredes.

Hvad kan og ikke kan konkluderes

En øvelse hos en teleudbyder kan vise, om adskillelsen mellem net holder over for en målrettet modstander, og om logning, øvede roller og eskalering virker i praksis. Den kan ikke dokumentere, at udbyderen opfylder teleloven, og den siger intet om de net og systemer, der var fredede.

Tjekliste før øvelsen hos en teleudbyder

☐ Er kernenet, radionet og systemer til offentlige advarsler opført som fredede områder?
☐ Er det aftalt, hvilket bevis der er nok ved grænsen til styringsnettet?
☐ Står det i rules of engagement, at kunders kommunikation ikke må tilgås?
☐ Ved den, der aktiverer beredskabet, hvordan white team kontaktes?
☐ Er spørgsmålet om sikkerhedsgodkendelser afklaret for holdet?
☐ Er juridisk afdeling og databeskyttelsesrådgiveren inddraget?