Roller i TIBER‑DK: TIBER Cyber Team, kontrolteam, udbydere og blue team

I en TIBER-DK-test er det afgørende, hvem der ved hvad, og hvem der må beslutte hvad. Rollerne er beskrevet i Danmarks Nationalbanks implementeringsdokument for TIBER-DK, version 4.1, og de svarer til rollerne i de tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190.

Kort fortalt er der tre grupper. Nationalbanken deltager som myndighed gennem sit TIBER Cyber Team. Virksomheden deltager med et lille kontrolteam, der kender til testen, og et blue team, der ikke gør. Og to leverandører, en til trusselsefterretning og en til red team-testen, udfører arbejdet. Gennemgangen er en forklaring af rammen, ikke juridisk rådgivning.

TIBER Cyber Team og testlederne

Nationalbanken er dansk myndighed for TLPT og har oprettet et centralt team, TCT, til at drive programmet. Ifølge implementeringsdokumentet sikrer teamet, at hver test indeholder de obligatoriske elementer, og derfor deltager det i alle faser, giver feedback, validerer og godkender materiale og vejleder undervejs.

Til hver test udpeger TCT en testleder og en stedfortræder samt eksperter i projektstyring, afgrænsning og trusselsefterretning. De tekniske standarder stiller det samme krav: en testleder og mindst én suppleant pr. test, der overvåger, at reglerne overholdes. TCT planlægger også, hvornår de enkelte test ligger i programmet. Oplysninger om en konkret test bliver hos teamet og går uden virksomhedens samtykke hverken videre internt i Nationalbanken eller til andre myndigheder. → TIBER-DK forklaret

For CISO’en er testlederne den direkte modpart. De skal kende til beslutninger, der påvirker testens effekt eller risiko, og flere af dem kræver deres godkendelse.

Kontrolteamet og dets leder

Kontrolteamet er virksomhedens styregruppe for testen og de eneste i virksomheden, der kender til den. Dokumentet beskriver det som så lille som muligt, men med beslutningskraft og faglig viden inden for cyber, operationel risiko, forretning samt projekt- og teststyring. Teamet skal have adgang til toppen af eskaleringskæden for sikkerhedshændelser, så det kan holde styr på konsekvenserne, hvis testen opdages.

Lederen af kontrolteamet koordinerer alle aktiviteter og har ansvaret for den daglige styring og for teamets beslutninger. Dokumentet forventer en erfaren person med stærke evner inden for projektledelse og kommunikation, mandat til at styre alle sider af testen og adgang til direktionen. Mindst ét andet medlem skal kende detaljerne godt nok til at træde til. TCT validerer kontrolteamets sammensætning og senere ændringer i den.

Teamet kan udvides undervejs med kontaktpersoner hos kritiske leverandører eller med fagspecialister, når scenarierne kræver det, men kun med TCT’s accept.

For CISO’en rejser rollen et valg. Sidder CISO’en selv i kontrolteamet, ved personen, at forsvaret testes, og kan ikke samtidig lede sin egen organisation, som om intet foregik. Står CISO’en uden for, mister kontrolteamet måske den person, der kender sikkerhedsorganisationen bedst. Rammen afgør ikke valget, men kræver, at teamet har den nødvendige viden og mandat, og at blue team ikke advares. Valget bør derfor træffes bevidst og noteres i initieringsdokumenterne, så alle ved, hvem der må svare på hvad. → White team

Ledelsen

Ledelsen er ikke en del af kontrolteamet, men har en fast plads. Efter de tekniske standarder må oplysninger om testen deles med ledelsesorganet på need to know-basis, kontrolteamet skal holde ledelsesorganet orienteret om fremdrift og risici, og ledelsesorganet skal godkende dokumentet om afgrænsningen. I TIBER-DK attesterer den øverste ledelse også scope-dokumentet og modtagelsen af den endelige erklæring, og direktionen opfordres til at deltage i første del af replay. → Ledelsens godkendelse

Blue team

Alle medarbejdere, der ikke sidder i kontrolteamet, er efter dokumentet blue team. I praksis er det de folk, der forsvarer virksomheden mod angreb, og eksterne ressourcer som en ekstern SOC kan også være en del af det. De tekniske standarder nævner opgaver som sikkerhedsovervågning, IKT-infrastruktur, helpdesk og hændelseshåndtering og medregner personale hos tredjepartsudbydere.

Forsvaret holdes uden for al viden om testen, indtil den aktive del er slut. Skal et medlem af blue team alligevel inddrages, skal kontrolteamet først rådføre sig med testlederne. Kontrolteamet skal derfor have dækhistorier klar, hvis forsvaret opdager noget, og ordninger, der sikrer, at det selv bliver informeret om opdagelser og eskaleringer. I afslutningsfasen skifter rollen: blue team skriver sin egen rapport og deltager i replay og purple teaming. → SOC-leverandøren og øvelsen

Leverandøren af trusselsefterretning

Leverandøren indsamler efterretning om virksomheden og dens trusler og udvikler scenarierne i den målrettede trusselsrapport. Med afsæt i DORA er det obligatorisk at bruge en ekstern leverandør, også når testerne er interne. Ifølge dokumentet deltager leverandøren også i de ugentlige statusmøder under den aktive test, så testerne kan få opdateret efterretning undervejs.

De tekniske standarder kræver, at leverandørens folk ikke samtidig løser blue team-opgaver eller andre opgaver, der kan give en interessekonflikt over for virksomheden eller de involverede IKT-udbydere. Leverer samme firma både efterretning og testere, skal de to hold holdes adskilt, så ingen af dem rapporterer til den anden.

Red team-testerne

Testerne udarbejder testplanen, gennemfører de aftalte scenarier mod de systemer og tjenester, der understøtter de kritiske funktioner, og skriver red team-rapporten. Dokumentet lægger ansvaret for at holde sig inden for love, regler og etiske grænser hos testerne selv. Eksterne testere er udgangspunktet. Interne testere kan bruges under skærpede krav og med TCT’s godkendelse. → Krav til testere i DORA artikel 27

Virksomhedens samlede ansvar

Selv om myndigheden deltager tæt, ligger ansvaret for testen hos virksomheden. Den hyrer selv leverandørerne, styrer risikoen og skal sikre, at testen holder sig inden for gældende regler. Virksomheden ejer også alt materiale fra testen og deler det relevante med sine tilsynsmyndigheder, når det kræves.

Efter testen fortsætter samarbejdet i en anden form. Nationalbanken driver en gruppe for de deltagende virksomheder, TIBER-DK Group, hvor kontrolteamets leder og kernemedlemmer kan dele erfaringer i et fortroligt forum. Gruppen giver også input til, hvordan implementeringen og den europæiske ramme udvikles, så rollen som deltager rækker ud over den enkelte test.

Det skal I lade være med

At gøre kontrolteamet stort · hver ekstra person øger risikoen for, at testen bliver kendt.
At vælge en leder uden mandat · kontrolteamets leder skal kunne træffe beslutninger hurtigt, også under en eskalering.
At glemme den eksterne SOC · den hører til blue team og skal ikke advares.
At se TCT som tilsyn med jeres sikkerhed · teamet sikrer, at testen følger rammen.

Hvad kan og ikke kan konkluderes

Rollerne fordeler viden og ansvar, så testen kan være realistisk og samtidig kontrolleret. De siger ikke, hvordan virksomheden skal organisere sin sikkerhedsfunktion i øvrigt, og de gælder kun for test i Nationalbankens program. Hvordan rollerne indgår i forløbet, er beskrevet særskilt. → Faserne i en TIBER-DK-test

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: TCT og testledere (s. 6 og 7), kontrolteam, blue team og virksomhedens ansvar (s. 7 og 8), leverandører og testere (s. 8), kontrolteamets leder og sammensætning (s. 12 til 14), attestation af scope (s. 19 og 20), replay (s. 38 og 39), erklæring (s. 43), TIBER-DK Group (bilag 2, s. 46).
Kommissionens delegerede forordning (EU) 2025/1190: artikel 1, nr. 1 til 4, om kontrolteam og blåt team, artikel 3 om TCT og testledere, artikel 4 om organisering og need to know, artikel 7, stk. 1, litra e, nr. iv og v, om interessekonflikter og adskillelse hos leverandøren, artikel 9, stk. 4 og 6, om orientering af og godkendelse fra ledelsesorganet.
Forordning (EU) 2022/2554 (DORA): artikel 27, stk. 2, litra c, om ekstern formidler af trusselsefterretninger.

Senest gennemgået: oktober 2026.