En finansiel virksomhed kan have brug for en realistisk angrebsøvelse, selv om den ikke er udpeget til TLPT, eller selv om der er år til den næste. Svaret på, om det giver mening, hviler på DORA: forordningen skelner mellem den avancerede TLPT for de udpegede og det almindelige testprogram, som finansielle enheder, der ikke er mikrovirksomheder, skal have. En red team-øvelse uden for TIBER-DK kan være et nyttigt led i testprogrammet. Den er bare ikke en TLPT, den giver ingen erklæring fra myndigheden, og den kan ikke træde i stedet for en test, Nationalbanken har krævet. Teksten er ikke juridisk rådgivning.
To øvelser, der ligner hinanden
Håndværket kan se ens ud. Begge former bygger på scenarier, et lille hold, der kender til øvelsen, et forsvar, der ikke gør, og en afslutning, hvor holdene ser forløbet sammen. Forskellen ligger i rammen omkring dem.
En TIBER-DK-test følger Nationalbankens implementeringsdokument og de tekniske reguleringsstandarder for TLPT. Myndighedens testledere deltager i alle faser, omfanget valideres, der er mindst tre scenarier og en aktiv testperiode på mindst tolv uger, og forløbet slutter med en erklæring. En frivillig øvelse har ingen af de bindinger. Virksomheden bestemmer selv formål, omfang, varighed og afrapportering, og den bærer selv hele ansvaret for, at øvelsen er forsvarlig. → DORA-TLPT forklaret
Hvor øvelsen hører hjemme i DORA
Artikel 24 kræver, at finansielle enheder, der ikke er mikrovirksomheder, har et forsvarligt og omfattende program for test af den digitale operationelle modstandsdygtighed som en del af rammen for IKT-risikostyring. Programmet skal følge en risikobaseret tilgang. Artikel 25, stk. 1, nævner en række relevante test, programmet skal rumme bestemmelser om, bl.a. scenariebaserede test og penetrationstest.
En red team-øvelse kan derfor indgå i testprogrammet som en scenariebaseret test af, om forsvaret opdager og reagerer. Forordningen kræver ikke red teaming af virksomheder uden for TLPT, men den stiller krav, som også gælder den frivillige øvelse, når den bruges i programmet. Efter artikel 24, stk. 4, skal test gennemføres af uafhængige parter, interne eller eksterne, og interessekonflikter skal undgås. Efter stk. 5 skal der være procedurer for at prioritere, klassificere og afhjælpe de problemer, testen finder. → DORA’s testprogram
Hvad en frivillig øvelse ikke kan
Den vigtigste grænse er formel. Erklæringen efter artikel 26, stk. 7, udstedes af myndigheden, efter at en TLPT er gennemført efter kravene. En øvelse uden myndighedens deltagelse kan ikke få den, og den tæller ikke med i den hyppighed, en udpeget virksomhed skal overholde. Hvis Nationalbanken har meddelt, at en TLPT skal gennemføres, er det den, der skal gennemføres. → Opsummering, afhjælpningsplan og attestation
Den anden grænse er sproglig. Navnet TIBER hører til Nationalbankens program. En øvelse kan godt låne struktur fra de offentlige vejledninger, men den bør ikke omtales som en TIBER-test eller en TLPT i rapporter, bestyrelsesmateriale eller svar til tilsynet.
Det betyder ikke, at resultatet er uden værdi over for ledelsen eller tilsynet. En kort beskrivelse af formål, scenarie, omfang og opfølgning viser, hvordan testprogrammet bruges i praksis. Forbered den beskrivelse, før øvelsen begynder, så det er aftalt med leverandøren, hvad der kan deles, og hvad der forbliver internt. Hvis tilsynet spørger til øvelsen, svarer I med det, den faktisk var, og med de begrænsninger, der fulgte af omfanget.
Situationer, hvor det kan give mening
- Mellem to TLPT’er · en mindre øvelse kan vise, om de væsentligste fund fra sidste test er rettet, og om forsvaret har lært af dem.
- Uden for TLPT’ens omfang · funktioner, datterselskaber eller forretningsprocesser, der ikke var med i testen, kan stadig være værd at afprøve.
- Ved ændringer · en ny overvågningsleverandør, en sammenlægning eller et skift af kernesystem kan give anledning til en øvelse.
- Uden udpegning · en virksomhed, der ikke skal gennemføre TLPT, kan bruge en øvelse til at afprøve opdagelse og reaktion i et konkret scenarie, fx svindel med betalinger.
Fælles for situationerne er, at formålet skal være formuleret, før omfanget fastlægges. Et skarpt spørgsmål giver en øvelse, der kan bruges i testprogrammet. Et ønske om at afprøve alt på én gang giver et svar, der er svært at handle på. → Betalingssvindel som scenarie
Lån fra rammen, men sig det højt
ECB’s TIBER-EU-vejledninger og Nationalbankens implementeringsdokument er offentlige, og de beskriver elementer, der også giver værdi i en frivillig øvelse: et lille kontrolteam med mandat, need to know, en dokumenteret risikovurdering før start, leg-ups, når holdet sidder fast, og en afslutning med replay og purple teaming. De tekniske reguleringsstandarder opregner i artikel 5 de risici, kontrolteamet i en TLPT som minimum skal tage stilling til. Listen er et godt udgangspunkt for white team i en frivillig øvelse, selv om den ikke er bindende der.
Skriv i øvelsens grundlag, hvilke elementer I har lånt, og hvilke I har fravalgt. Så kan revisionen, tilsynet og den næste CISO se, hvad resultatet bygger på, og ingen forveksler øvelsen med en TLPT. → White team
Leverandøren til øvelsen
Kravene i artikel 27 og i standardernes artikel 7 gælder testere i en TLPT. For en frivillig øvelse er de ikke et krav, men de er en brugbar liste over spørgsmål til en leverandør: erfaring med red teaming, adfærdskodeks, risikostyring, ansvarsforsikring og håndtering af fortrolige oplysninger. Uafhængighedskravet i artikel 24, stk. 4, gælder under alle omstændigheder, når øvelsen indgår i testprogrammet.
Nielco IT tilbyder red teaming uden for TIBER-rammen, herunder social engineering, fysisk adgang og længerevarende angrebssimulering, og løser større opgaver med tilknyttede konsulenter i Nielco IT’s regi. Nielco IT er ikke udbyder under TIBER-DK eller DORA-TLPT. → Valg af leverandør til red teaming
Det skal I lade være med
- At kalde øvelsen en TLPT eller en TIBER-test · betegnelserne hører til myndighedens program og erklæring.
- At udskyde en udpeget TLPT med henvisning til en frivillig øvelse · den frivillige øvelse opfylder ikke kravet.
- At springe afhjælpningen over · artikel 24, stk. 5, kræver procedurer for at følge op på det, testen finder.
- At kopiere rammens tidsplan ukritisk · en frivillig øvelse skal dimensioneres efter formålet, ikke efter en TLPT’s faser.
- At holde compliance-funktionen udenfor · den skal kunne se, hvordan øvelsen indgår i testprogrammet.
Hvad kan og ikke kan konkluderes
En frivillig red team-øvelse kan vise, hvordan forsvaret i en finansiel virksomhed opdager og reagerer i et aftalt scenarie, og den kan indgå i testprogrammet efter DORA artikel 24 og 25. Den kan ikke dokumentere, at kravet om TLPT er opfyldt, og den siger kun noget om de scenarier, der blev afprøvet. Om virksomheden er udpeget, afgør Nationalbanken. → Hvem skal gennemføre TLPT?
Kilder
- Forordning (EU) 2022/2554 (DORA): artikel 24, stk. 1, 3, 4 og 5, om testprogrammet, artikel 25, stk. 1, om testtyperne, artikel 26, stk. 7, om erklæringen og artikel 27 om krav til testere.
- Kommissionens delegerede forordning (EU) 2025/1190: artikel 3, stk. 5, om myndighedens deltagelse, artikel 5 om risikostyring, artikel 7 om udvælgelse af udbydere, artikel 10, stk. 3, om mindst tre scenarier og artikel 11, stk. 5, om den aktive testfase.
- Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: TIBER-DK som Nationalbankens program og testens elementer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: TIBER-DK forklaret · Når kunder eller tilsyn spørger til red teaming
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT
