TIBER‑DK forklaret: Nationalbankens ramme for trusselsbaserede red team‑test

TIBER-DK er den danske ramme for trusselsbaserede red team-test af virksomheder, der er vigtige for det finansielle system. For en CISO i en bank, et forsikringsselskab eller en finansiel infrastruktur er det nyttigt at forstå, hvad rammen kræver, hvem der styrer den, og hvordan den hænger sammen med DORA. Forklaringen her bygger på Danmarks Nationalbanks egen side om TIBER-DK og på implementeringsdokumentet i version 4.1 fra januar 2025.

Kort fortalt er TIBER-DK Nationalbankens nationale udgave af den europæiske ramme TIBER-EU. Rammen indeholder kravene til trusselsbaseret penetrationstest efter DORA, og en finansiel virksomhed, der er omfattet af DORA’s krav og har gennemført en TIBER-DK-test, har dermed ifølge dokumentet også gennemført en DORA-TLPT. Teksten er en forklaring og ikke juridisk rådgivning.

Hvad TIBER-DK er

TIBER står for Threat Intelligence-Based Ethical Red teaming. En TIBER-DK-test er en kontrolleret red team-test af en virksomheds kritiske eller vigtige funktioner, gennemført på produktionssystemer og bygget på efterretning om de trusler, der er relevante for netop den virksomhed. Testen omfatter ikke kun teknik, men også roller og processer.

Ifølge implementeringsdokumentet er formålet at give virksomheden størst mulig læring og indsigt i styrker og svagheder i cyberforsvaret. Når virksomheden arbejder med resultatet, styrkes modstandskraften i den danske finansielle sektor, og det er programmets overordnede formål at bidrage til stabiliteten i det finansielle system. Dokumentet beskriver seks principper, der støtter formålet, bl.a. læring, ansvarlighed, realisme og deling af erfaringer mellem deltagerne.

Den første udgave af rammen blev offentliggjort i december 2018, og de første test begyndte i januar 2019. → TIBER-EU: den europæiske ramme bag TIBER-DK

Nationalbankens rolle

Nationalbanken er efter dansk lovgivning udpeget som myndighed for trusselsbaseret penetrationstest, TLPT, i Danmark, og rammen bruger betegnelsen TIBER-myndighed om samme rolle. Nationalbanken har oprettet et TIBER Cyber Team, TCT, som ifølge dokumentet er placeret i afdelingen for finansiel stabilitet og holdt adskilt fra resten af banken.

TCT driver programmet og deltager i alle faser af hver test. Teamet giver feedback, validerer og godkender materiale undervejs og sikrer, at testen indeholder de obligatoriske elementer. Til hver test udpeges en testleder og en stedfortræder, og teamet stiller desuden eksperter i projektstyring, afgrænsning og trusselsefterretning til rådighed. TCT planlægger også, hvornår de enkelte test ligger, så de passer ind i programmets samlede plan. TCT deler ifølge dokumentet ikke oplysninger om den enkelte test internt i Nationalbanken eller med andre myndigheder uden virksomhedens samtykke, og teamet kan underkende en test, der ikke gennemføres i overensstemmelse med rammens principper og krav. → Roller i TIBER-DK

Hvem der deltager

Ifølge implementeringsdokumentet omfatter programmet to grupper. Den ene er finansielle virksomheder, der er omfattet af DORA’s krav om TLPT. Den anden er virksomheder, der ikke er omfattet af kravet, men som er vigtige for stabiliteten i det danske finansielle system og deltager frivilligt. For de frivillige gælder, at aftalen om at deltage betragtes som bindende, når den først er indgået.

Dokumentet skriver, at en virksomhed generelt gennemfører en TIBER-test mindst hvert tredje år. Hvem der udpeges til TLPT, og efter hvilke kriterier, er beskrevet særskilt. → Hvem skal gennemføre TLPT?

Parterne i en test

En TIBER-DK-test involverer tre parter ud over Nationalbanken. Virksomheden selv er repræsenteret ved et kontrolteam, der kender til testen og styrer den, og et blue team, som er alle andre medarbejdere og eventuelle eksterne ressourcer som en ekstern SOC. Blue team ved ikke, at testen forberedes eller foregår, før afslutningsfasen.

De to øvrige parter er en leverandør af trusselsefterretning og red team-testerne. Virksomheden ansætter selv begge og er ansvarlig for at styre testen og risikoen ved den. Med afsæt i DORA er det obligatorisk at bruge en ekstern leverandør af trusselsefterretning, mens eksterne red team-testere er udgangspunktet, og interne testere kun kan bruges under skærpede krav og med TCT’s godkendelse. → Fortrolighed i TIBER-DK

Forløbet i store træk

Testen er delt i tre faser: forberedelse, test og afslutning. I forberedelsen fastlægges organisering, afgrænsning, risikostyring og valg af leverandører. Testfasen består af et efterretningsarbejde, der munder ud i scenarier, og den egentlige red team-test. I afslutningsfasen skriver red team og blue team hver deres rapport, holdene gennemspiller forløbet sammen, der gennemføres purple teaming, og virksomheden udarbejder en sammenfattende rapport og en afhjælpningsplan.

Implementeringsdokumentet angiver forventede varigheder for faserne og et samlet forløb på omkring 60 uger, med en aktiv testperiode på mindst tolv uger. Forløbet afsluttes med en erklæring om, at testen er gennemført efter kravene. Faserne er beskrevet nærmere i en særskilt gennemgang. → Faserne i en TIBER-DK-test

Hvad CISO’en skal være opmærksom på

For sikkerhedsfunktionen i en virksomhed, der deltager, er TIBER-DK et projekt, der kræver ledelsens opbakning, et lille og beslutningsdygtigt kontrolteam og en realistisk plan for ressourcer. Dokumentet opfordrer virksomheden til at begynde forberedelserne i god tid, herunder budget, ressourcer, indkøb og interne oplysninger om kritiske eller vigtige funktioner og systemer. Før den formelle meddelelse om en test er der ifølge dokumentet en forberedende dialog mellem TCT og virksomhedens kontaktpersoner.

Det er også værd at vide, at virksomheden er juridisk ejer af alt materiale fra testen og selv er ansvarlig for at dele relevant materiale med sine tilsynsmyndigheder, når det kræves. Myndighederne kan følge op på resultatet, herunder afhjælpningsplanen, men dokumentet understreger, at testen er en læringsøvelse og et øjebliksbillede af bestemte scenarier og ikke en samlet vurdering af sikkerheden. Opfølgningen bør ifølge dokumentet ske i den ånd, både hos virksomheden og hos myndighederne. → DORA-TLPT forklaret

Det skal I lade være med

At sidestille TIBER-DK med en almindelig red team-øvelse · rammen har myndighedsdeltagelse, faste faser og en erklæring.
At kalde en frivillig øvelse for en TIBER-test · betegnelsen er knyttet til Nationalbankens program.
At undervurdere forberedelsen · forløbet strækker sig over lang tid og kræver ressourcer i hele perioden.
At læse resultatet som en karakter · testen skal give læring om styrker og svagheder i forsvaret.

Hvad kan og ikke kan konkluderes

TIBER-DK giver en fælles og kontrolleret ramme for realistiske test af kritiske funktioner, og en gennemført test kan dokumenteres over for myndighederne. Rammen siger ikke, at en virksomhed, der har gennemført testen, er sikker, og den kan ikke bruges som betegnelse for øvelser uden for Nationalbankens program. Om en konkret virksomhed er omfattet, afgør Nationalbanken. Red teaming uden for rammen er beskrevet for sig. → Red teaming uden for TIBER-rammen

Kilder

Danmarks Nationalbank, TIBER-DK/TLPT: TIBER-DK som Nationalbankens program, Nationalbanken som TLPT-myndighed og en TIBER-DK-test som DORA-TLPT.
Danmarks Nationalbank, TIBER-DK Implementation Document, version 4.1: formål og principper (s. 4 og 5), Nationalbanken og TCT (s. 6 og 7), deltagere, kontrolteam og blue team (s. 7), leverandører og testere (s. 8), faser og varigheder (s. 9), forberedelse (s. 10).
Forordning (EU) 2022/2554 (DORA): artikel 26 og 27 om TLPT og krav til testere.

Senest gennemgået: oktober 2026.