Mange sårbarheder bliver fundet af nogen uden for virksomheden: en kunde, en sikkerhedsforsker eller en anden virksomhed, der bruger det samme. Om meldingen når frem til en, der kan handle, afhænger af en kanal, man kan finde, en politik for, hvad der sker med meldingen, og en person, der faktisk læser den. Alle tre kan en sikkerhedsaudit af virksomheden efterprøve.
Er virksomheden under NIS 2-loven, er området en del af lovens krav om håndtering af sårbarheder. For en fabrikant af produkter med digitale elementer kommer der fra 11. december 2027 udtrykkelige krav i forordningen om cyberrobusthed (CRA). Artiklen viser, hvad en audit af organisationen kan sige om indgangen, og hvor den overlader resten til en gennemgang af produktet.
Hvad reglerne siger
NIS 2-lovens tekst nævner “håndtering og offentliggørelse af sårbarheder” i § 6, stk. 1, nr. 5. Det står som led i sikkerheden, når systemer anskaffes, udvikles og vedligeholdes. Styrelsen for Samfundssikkerheds vejledning fra juni 2025 kræver procedurer for håndtering af sårbarheder. En politik for koordineret offentliggørelse nævnes kun som noget, enheden kan have. Koordineret offentliggørelse betyder, at den, der finder en sårbarhed, melder den til ejeren og giver tid til en rettelse, før detaljerne bliver offentlige.
CRA går længere for fabrikanter. Fra 11. december 2027 skal en fabrikant indføre og håndhæve en politik for koordineret offentliggørelse af sårbarheder og lette udvekslingen af oplysninger om mulige sårbarheder, blandt andet med en kontaktadresse (bilag I, del II, nr. 5 og 6). Fabrikanten skal også udpege et centralt kontaktpunkt, som er let at finde, lader brugeren vælge kommunikationsmiddel og ikke må være begrænset til automatiserede værktøjer (artikel 13, stk. 17). Kravene gælder ikke endnu.
Det er vores tolkning, at én indgang kan tjene begge regelsæt, hvis den er bygget til at sortere meldingerne.
Det, auditten af virksomheden ser efter
Det følgende er praksis. Ingen af reglerne beskriver, hvordan en indgang auditeres.
Kan kanalen findes udefra? Auditor prøver selv at finde den, som en udenforstående ville gøre det, på hjemmesiden og i den dokumentation, kunderne får. En kontaktadresse, der kun står i et internt dokument, hjælper ingen.
Hvem læser, og hvornår? Auditor spørger, hvem der ejer indbakken eller formularen, hvem der dækker ved ferie og sygdom, og om nogen har set på den i den sidste måned. En fælles adresse, ingen har ansvaret for, er et typisk svagt punkt.
Hvad lover politikken? Forordningen sætter ingen svartid. Har virksomheden selv lovet melderen en kvittering eller en status inden for et bestemt tidsrum, bliver løftet målestokken. Auditor holder praksis op mod det, politikken siger.
Sorteringen. En melding kan handle om virksomhedens egne systemer, om et produkt hos kunderne eller om en komponent fra en tredjepart. Hver vej har sin ejer. For en fabrikant kan en melding også være det første kendskab til, at en sårbarhed bliver udnyttet aktivt, og så løber fristerne i artikel 14 allerede nu. Den del hører til indberetningen i beredskabsauditten.
Stikprøven. Auditor vælger nogle meldinger fra det seneste år og følger dem. Hvornår kom de ind, hvornår fik melderen svar, hvem vurderede dem, og hvordan blev de lukket? Er der slet ingen meldinger, kan det betyde, at ingen har fundet noget, eller at ingen har kunnet finde kanalen.
Fortroligheden. En melding om en sårbarhed, der endnu ikke er rettet, er følsom. Auditor ser efter, hvem der har adgang til indbakken og sagerne, og om oplysningerne deles bredere end nødvendigt.
Hvor gennemgangen af produktet tager over
En audit af organisationen kan vise, at indgangen findes, bliver læst og sorterer rigtigt. Den kan ikke afgøre, om politikkens indhold opfylder CRA, om kontaktpunktet står i brugeroplysningerne efter bilag II, nr. 2, eller om politikken står i den tekniske dokumentation, som bilag VII kræver. Det er spørgsmål om produktet og dets dokumentation.
Hvad der kontrolleres i selve politikken og kontaktpunktet, står på siden om politik og kontaktpunkt hos fabrikanten. Hvordan meldingerne derefter håndteres i et sårbarhedsregister med frister, er emnet for gennemgang af rettefrister og sårbarhedsregister.
Virksomheden uden egne produkter har stadig gavn af en indgang. Den, der finder en svaghed i jeres hjemmeside eller kundeportal, skal også kunne nå jer.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kontaktvej, der står synligt, en ejer med stedfortræder, en kort politik for, hvad melderen kan forvente, og en log over meldinger og svar. Hos en fabrikant skal indgangen desuden kunne skelne mellem egne systemer og produkter.
Uden det kan en melding ligge ulæst i en fælles indbakke, mens sårbarheden bliver kendt andre steder. Melderen kan vælge at offentliggøre uden jeres medvirken, og I hører om problemet fra kunderne.
Det skal I lade være med
- At gemme kontaktadressen i et internt dokument · den skal kunne findes af en udenforstående.
- At love svartider, ingen kan holde · politikkens eget løfte bliver det, auditten måler på.
- At lade meldinger om produktet løbe ind i den almindelige supportkø · de skal sorteres og vurderes af nogen, der kender reglerne.
Det skal auditten kunne vise
- ☐ En kontaktvej for sårbarhedsmeldinger, der kan findes udefra.
- ☐ En navngiven ejer og en stedfortræder for indgangen.
- ☐ En politik for, hvad melderen kan forvente, og praksis holdt op mod den.
- ☐ En log, hvor meldinger kan følges fra modtagelse til lukning.
- ☐ Sortering mellem egne systemer, produkter og tredjepartskomponenter.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 5, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 5.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 (forordningen om cyberrobusthed), artikel 13, stk. 17, artikel 14 og 71 samt bilag I, del II, bilag II og bilag VII, https://eur-lex.europa.eu/legal-content/DA/TXT/HTML/?uri=OJ:L_202402847, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhed ved anskaffelse og udvikling · Audit af hændelseshåndteringen
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
