En rapport fra en penetrationstest kan bruges som bevis for dele af NIS2-kravene, især om sårbarheder og om jeres vurdering af, hvor effektive foranstaltningerne er. Den belægger kun det, testen omfattede, på det tidspunkt den blev udført, og den siger intet om fx ledelsens godkendelse eller jeres styring af leverandører.
En penetrationstest er en test, hvor en tester forsøger at udnytte svagheder i systemerne, som en angriber ville gøre. Den svarer på et andet spørgsmål end en audit. Rapporten kan alligevel spare tid i auditten, hvis den er dokumenteret, så andre kan bruge den.
Hvor penetrationstest står i reglerne
NIS 2-loven nævner ikke penetrationstest. Bemærkningerne til § 6, stk. 1, nr. 6, gør. De siger, gengivet i Styrelsen for Samfundssikkerheds vejledning, at enheder skal have procedurer for vurdering af behov for tekniske test for potentielle sårbarheder, fx sårbarhedsscanninger eller penetrationstest.
Vejledningen kræver, at behovet for tekniske test vurderes løbende og ud fra en risikovurdering. Penetrationstest står på listen over eksempler sammen med bl.a. sårbarhedsscanning, red team og konfigurationsgennemgang. Der er altså intet krav om netop en penetrationstest. Kravet er en begrundet beslutning om, hvilke test I har brug for. Det er beskrevet i beslutningen om tekniske test.
Hvad en rapport skal indeholde for at kunne bruges
Ifølge vejledningens anbefaling bør en udenforstående fagperson kunne forstå testens type, omfang, tidspunkt og resultater ud fra dokumentationen. Som minimum bør det fremgå, hvor alvorligt hvert resultat er, og hvilke kompenserende handlinger der er gennemført. Test kan udføres af enheden selv eller af en tredjepart.
For auditor er det netop de oplysninger, der afgør, om rapporten kan bruges. Uden en beskrivelse af omfanget kan auditor ikke se, hvilke systemer konklusionen gælder for. Uden dato kan auditor ikke vurdere, om den stadig passer. Uden opfølgning på fundene viser rapporten kun, at svagheder blev fundet.
Efter vejledningen skal den tilbageværende risiko desuden godkendes af en risikoejer, og relevant ledelse skal have besked. Er en kritisk sårbarhed fra testen ikke rettet, bør der ligge en accept.
Alder og omfang
NIST beskriver, hvornår tidligere vurderingsresultater kan genbruges. Den, der vurderer, bør have bedømt, om beviset er troværdigt, og om det stadig passer til systemets nuværende tilstand. Datoen og typen af den oprindelige vurdering bør noteres.
Det giver to spørgsmål, auditor vil stille. Er systemerne ændret væsentligt siden testen? En ny firewall, en ny cloudtjeneste eller en omlagt fjernadgang kan gøre en ældre test irrelevant for netop den del. Og dækker testen det, auditten handler om? En test af den eksterne hjemmeside siger intet om det interne netværk.
Hvilke krav rapporten kan belægge
Hvilke punkter i § 6 en testrapport kan bære, står ikke nogen steder. Det følgende er en tolkning.
Rapporten kan være bevis for dele af § 6, stk. 1, nr. 5, om sikkerhed ved vedligeholdelse, herunder håndtering af sårbarheder. Den viser, at sårbarheder er søgt, og med opfølgningen også, at de er håndteret.
Den kan være bevis for dele af nr. 6 om effektivitetsvurdering, fordi testen er en af de måder, foranstaltningernes virkning afprøves på. Se effektivitetsvurdering efter NIS2.
Den kan ikke bære ledelsesorganets godkendelse efter § 7, leverandørstyringen efter nr. 4, politikkerne efter nr. 1 eller uddannelsen efter nr. 7. Den kan heller ikke vise, at en kontrol har virket over en periode, fordi den er et øjebliksbillede. Forskellen er forklaret i øjebliksbillede eller periode.
Penetrationstest eller audit
De to bruges ofte i flæng, men de svarer på hver sit spørgsmål. Testen spørger, om en angriber kan komme ind. Auditten spørger, om virksomheden styrer sin sikkerhed efter de kriterier, der gælder. Forskellen står i sikkerhedsaudit, penetrationstest eller scanning. Den tekniske efterprøvning af opsætninger er beskrevet under de tekniske kontrolpunkter.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at testrapporten beskriver omfang, metode, dato og fund, og at I har en oversigt over, hvad der er gjort ved hvert fund. Kritiske fund, der ikke er rettet, skal have en accept med navn og dato.
Afleverer I en rapport uden opfølgning, kan den vende sig mod jer. Den dokumenterer så, at I kendte til svagheder, men ikke, at I handlede på dem. Netop den situation rammer § 6, stk. 2, som kræver, at kendte mangler rettes hurtigt og uden unødigt ophold.
Det skal I lade være med
- At aflevere rapporten uden en status på fundene · den viser så kun, at svaghederne var der.
- At bruge en gammel test om ændrede systemer · den passer ikke til den nuværende tilstand.
- At læse testen som bevis for hele § 6 · den belægger kun dele af nr. 5 og nr. 6.
Det skal auditten kunne vise
- ☐ Testens omfang, metode, dato og udfører.
- ☐ Status for hvert fund: rettet, i gang eller accepteret af risikoejeren.
- ☐ En vurdering af, om systemerne er ændret siden testen.
- ☐ Den beslutning om tekniske test, testen er udført efter.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6.a og 6.b, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres seneste testrapport frem, og skriv status ud for hvert fund.
Læs også: Audit af sårbarhedshåndtering · Hvad tæller som bevis i en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
