TIBER‑EU: den europæiske ramme bag TIBER‑DK

Bag den danske ramme for trusselsbaserede red team-test ligger en europæisk. TIBER-EU er udviklet af Den Europæiske Centralbank sammen med de nationale centralbanker og bruges af myndigheder i en række lande som fælles grundlag for den slags test. Forklaringen her bygger på ECB’s side om TIBER-EU og på selve rammedokumentet i udgaven fra 2025.

Kort fortalt er TIBER-EU en fælles europæisk standard for realistiske red team-test, der bygger på efterretning om trusler. Hvert land, der tager rammen i brug, laver sin egen implementering, og i Danmark er det TIBER-DK. Rammen er tilpasset DORA’s krav om trusselsbaseret penetrationstest, så en test efter en national implementering kan bruges til at opfylde kravene, når de formelle betingelser er opfyldt.

Hvad rammen er

ECB beskriver TIBER-EU som en europæisk ramme for etisk red teaming baseret på trusselsefterretning. Rammen vejleder myndigheder, virksomheder, leverandører af trusselsefterretning og red team-testere i, hvordan virksomheders cyberrobusthed kan afprøves og forbedres gennem kontrollerede angreb.

Ifølge ECB blev rammen udviklet i fællesskab af ECB og centralbankerne i EU, godkendt af ECB’s styrelsesråd og offentliggjort i maj 2018. Den blev opdateret i 2024 for at passe fuldt ud til de tekniske reguleringsstandarder for TLPT under DORA, og vejledningerne på ECB’s side er dateret 2025.

Rammedokumentet beskriver en test, der efterligner virkelige trusselsaktørers fremgangsmåder og retter sig mod de mennesker, processer og teknologier, der understøtter virksomhedens kritiske eller vigtige funktioner. Formålet er at vurdere evnen til at beskytte, opdage og reagere.

Parterne og risikoen

Rammedokumentet nævner fire hovedparter. Virksomheden styrer testen fra ende til anden og sørger for, at risikostyringen er på plads. Myndigheden følger og vejleder testen og sikrer, at den gennemføres i rammens ånd. Leverandøren af trusselsefterretning skaffer viden om trusler og mål, og red team-testerne gennemfører angrebsscenarierne. Kun en lille gruppe i virksomheden, kontrolteamet, kender til testen, mens forsvaret, blue team, ikke har forhåndsviden.

Dokumentet lægger ikke skjul på, at testen indebærer risiko, fordi den foregår på produktionssystemer. Det nævner muligheden for driftsforstyrrelser, nedbrud og tab eller ændring af data, og at kravene til testere og leverandører derfor bevidst er gjort strenge.

Rammens mål

Rammedokumentet nævner en række kernemål. De vigtigste for en CISO er:

Modstandskraft · at styrke cyberrobustheden hos virksomhederne og i den finansielle sektor.
Ensartethed · at standardisere, hvordan test gennemføres i EU, med plads til nationale særlige forhold.
DORA · at hjælpe virksomheder og myndigheder med at opfylde kravene til TLPT på en sikker måde.
Grænseoverskridende test · at gøre det muligt at teste virksomheder, der er aktive i flere lande.
Gensidig anerkendelse · at mindske byrden ved, at myndighederne kan bygge på hinandens test.

ECB skriver desuden, at resultatet ikke er bestået eller dumpet. Testen viser styrker og svagheder med fokus på læring og øget modenhed. → Myter om red teaming

Fra europæisk ramme til national implementering

Det er frivilligt for et land eller en myndighed at tage TIBER-EU i brug. Gør de det, skal der ifølge rammedokumentet laves et nationalt implementeringsdokument, fx TIBER-DK, der som minimum oplyser, at rammen er taget i brug, hvilke sektorer der er omfattet, hvem myndigheden og dens cyberteam er, og hvilke nationale særlige forhold der gælder. Implementeringen skal overholde rammens obligatoriske krav, men kan tilpasses landets institutioner og markeder.

ECB oplyser, at rammen er taget i brug i en lang række europæiske lande, herunder Danmark, og at ECB’s bankovervågning anvender den på europæisk plan. Den danske implementering er beskrevet for sig. → TIBER-DK forklaret

TIBER-EU Knowledge Centre

Til at holde sammen på de nationale implementeringer har ECB et videnscenter, TIBER-EU Knowledge Centre. Ifølge rammedokumentet skal centret bl.a. fremme videndeling mellem myndighedernes cyberteams, støtte de nationale implementeringer, overvåge dem, så gensidig anerkendelse er troværdig, og fungere som knudepunkt, når en test skal gennemføres i flere lande. Centret samler også erfaringer fra alle lande og bruger dem til at udvikle rammen.

For en virksomhed betyder det, at erfaringer fra test i ét land over tid kan påvirke rammen i alle lande. Det er en af grundene til, at implementeringsdokumenterne opdateres. Den danske implementering henviser selv til TIBER-EU-dokumenterne, og en CISO, der skal forstå et krav i TIBER-DK, kan derfor have brug for at læse den europæiske vejledning ved siden af.

Forholdet til DORA og RTS

DORA artikel 26 bestemmer, at de europæiske tilsynsmyndigheder skal udarbejde de tekniske reguleringsstandarder for TLPT i overensstemmelse med TIBER-EU-rammen. Standarderne er vedtaget som Kommissionens delegerede forordning (EU) 2025/1190. Forordningens første betragtning siger, at virksomheder omfattet af TLPT kan henvise til og anvende TIBER-EU eller en national implementering, i det omfang rammen er i overensstemmelse med kravene i DORA og forordningen.

Rammedokumentet beskriver samme sammenhæng fra den anden side: DORA’s krav til TLPT er indarbejdet i testprocessen, så en virksomhed, der gennemfører en test efter en national eller europæisk implementering, vil opfylde kravene til TLPT, forudsat at de formelle krav fra myndighederne er opfyldt. → De tekniske reguleringsstandarder for TLPT

Hvem rammen er tænkt til

Rammen er ifølge dokumentet tænkt til virksomheder med en vis systemisk betydning på nationalt eller europæisk plan og en tilstrækkelig moden IKT-organisation. Selve rammen kan dog bruges af alle typer og størrelser af virksomheder, også uden for finanssektoren. Dokumentet nævner også, at virksomheder på grund af ressourcer og omkostninger ikke forventes at gennemføre en test for ofte, og at et interval på tre år er normen.

ECB’s vejledninger om bl.a. kontrolteam, purple teaming og rapporter kan være nyttig læsning også for en organisation, der planlægger en frivillig øvelse. Men en øvelse, der låner fra vejledningerne, er ikke en TIBER-test og kan ikke kaldes det. → Red teaming uden for TIBER-rammen

Det skal I lade være med

At forveksle TIBER-EU med TIBER-DK · den europæiske ramme er grundlaget, den danske implementering er det, der gælder i Danmark.
At gå ud fra, at rammen alene opfylder DORA · de formelle krav fra myndighederne skal også være opfyldt.
At kalde en øvelse inspireret af vejledningerne for en TIBER-test · betegnelsen hører til de nationale programmer.
At læse rammen som en opskrift for egne øvelser · den forudsætter myndighedsdeltagelse og en bestemt organisering.

Hvad kan og ikke kan konkluderes

TIBER-EU giver et fælles europæisk sprog og en fælles proces for trusselsbaserede red team-test, og den gør det muligt at anerkende test på tværs af lande. Rammen siger ikke, hvilke virksomheder der skal testes. Det afgør de nationale myndigheder efter DORA og de tekniske reguleringsstandarder. → Hvem skal gennemføre TLPT?

Kilder

ECB, TIBER-EU: rammens formål, offentliggørelse i maj 2018, opdatering i 2024, lande, der har taget rammen i brug, vejledninger og Knowledge Centre.
ECB, TIBER-EU Framework (2025): kernemål og målgruppe (afsnit 1), interval på tre år og frivillig vedtagelse (afsnit 2.1 og 2.2), nationale implementeringer (2.2.1) og Knowledge Centre (2.2.2).
Forordning (EU) 2022/2554 (DORA): artikel 26, stk. 11, om tekniske reguleringsstandarder i overensstemmelse med TIBER-EU.
Kommissionens delegerede forordning (EU) 2025/1190: betragtning 1 om anvendelse af TIBER-EU eller en national implementering.

Senest gennemgået: oktober 2026.