En finansiel virksomhed, der skal planlægge sine sikkerhedstest, møder i dag forordningen DORA og en række forkortelser, som kan være svære at holde ude fra hinanden. Det grundlæggende spørgsmål er, hvilke test forordningen beskriver, og hvor en almindelig penetrationstest passer ind. Svaret bygger på forordningens tekst og på virksomhedens egen afklaring af, hvilke krav der gælder for netop den.
Kort fortalt beskriver DORA et program for test af den digitale operationelle modstandsdygtighed, hvor penetrationstest er nævnt som en af flere testformer. Derudover skal visse udvalgte virksomheder gennemføre en mere avanceret form, trusselsbaseret penetrationstest, der kaldes TLPT. Teksten her er en kort orientering og ikke juridisk rådgivning.
Hvad er DORA?
DORA er EU’s forordning om digital operationel modstandsdygtighed for den finansielle sektor, forordning (EU) 2022/2554. Den finder anvendelse fra den 17. januar 2025 og gælder for en lang række typer af finansielle enheder, fx kreditinstitutter, betalingsinstitutter, forsikringsselskaber og investeringsselskaber. Den præcise afgrænsning står i forordningens artikel 2.
Forordningen dækker mere end test. Den handler også om styring af IKT-risici, håndtering og indberetning af hændelser, deling af oplysninger og styring af risici ved IKT-tredjepartsleverandører. Test er ét af flere områder, og det skal ses i sammenhæng med resten.
Forordningen placerer det endelige ansvar for styringen af IKT-risici hos virksomhedens ledelsesorgan, jf. artikel 5. Det har betydning for testen, fordi resultatet ikke kun er et anliggende for IT. Ledelsen skal kunne forstå, hvad der er testet, hvad der blev fundet, og hvilke beslutninger det giver anledning til. Et kort og præcist resumé i rapporten er derfor en del af værdien.
Forordningen indeholder et proportionalitetsprincip. Kravene skal gennemføres under hensyn til virksomhedens størrelse, risikoprofil og arten af dens tjenester, og visse mindre virksomheder har en forenklet ramme. Hvad det betyder for den enkelte virksomhed, må den selv afklare med sine rådgivere og sin tilsynsmyndighed.
Testprogrammet og penetrationstest
DORA kræver et program for test af digital operationel modstandsdygtighed. Artikel 25 opregner en række testformer, som programmet kan omfatte. Listen nævner blandt andet sårbarhedsvurderinger og scanninger, netværkssikkerhedsvurderinger, gennemgang af kildekode, hvor det er muligt, scenariebaserede test og penetrationstest.
Penetrationstest er altså én af flere muligheder i programmet, ikke det eneste svar. Artikel 24 kræver desuden, at systemer og applikationer, der understøtter kritiske eller vigtige funktioner, testes passende mindst én gang om året, for andre virksomheder end mikrovirksomheder. Hvilke test der er passende, afhænger af virksomhedens egen vurdering.
For bestillingen betyder det, at en penetrationstest bør knyttes til programmet. Hvilken funktion understøtter systemet, hvilket spørgsmål skal testen besvare, og hvordan bruges resultatet bagefter?
Forordningen lægger også vægt på, hvad der sker efter testen. Programmet skal sikre, at problemer, der afdækkes, bliver klassificeret, prioriteret og håndteret. For en penetrationstest betyder det, at rapportens fund skal kunne føres ind i virksomhedens egen opfølgning, så det senere kan vises, hvad der er gjort ved dem. → Standarder for penetrationstest
TLPT: den avancerede test
Artikel 26 beskriver avanceret test i form af trusselsbaseret penetrationstest, TLPT. Den gælder for de finansielle enheder, som de kompetente myndigheder udpeger, og skal gennemføres mindst hvert tredje år. Testen skal omfatte flere eller alle kritiske eller vigtige funktioner og gennemføres på systemer i produktion.
TLPT adskiller sig fra en almindelig penetrationstest ved at bygge på efterretning om trusler mod den konkrete virksomhed og ved at efterligne realistiske angreb over en længere periode. Det minder mere om red teaming end om en afgrænset test af et system. Myndighederne er involveret i forløbet, og der stilles krav til, hvordan resultatet afsluttes og dokumenteres. Artikel 27 stiller særlige krav til de testere, der må gennemføre TLPT. → Trusselsbaseret test
TIBER-DK
I Danmark gennemføres trusselsbaseret test i den finansielle sektor efter rammen TIBER-DK, som er den danske udgave af den europæiske ramme TIBER-EU. Rammen beskriver blandt andet rollerne, forløbet og samspillet med myndighederne.
Nielco IT udfører ikke TLPT og er ikke udbyder under TIBER-DK. En nærmere forklaring af TIBER-DK, TLPT og forskellen til almindelig red teaming findes på red-teaming.dk. Forskellen mellem red teaming og penetrationstest er også beskrevet i → Red teaming eller penetrationstest.
Leverandører og den finansielle virksomhed
DORA lægger vægt på risici ved IKT-tredjepartsleverandører. En finansiel virksomhed, der bruger eksterne leverandører til drift, hosting eller software, skal forholde sig til de risici, og aftalerne med leverandørerne skal opfylde forordningens krav.
For testen betyder det, at det skal være afklaret, hvilke systemer virksomheden selv kan få testet, og hvilke der ligger hos leverandører. Leverandørens tilladelse kan være nødvendig, og leverandørens egne test kan være en del af det samlede billede. Hvis leverandøren deler sin egen dokumentation, bør virksomheden læse den med samme blik som sin egen rapport: hvad blev testet, hvornår, og hvad var uden for. → Kontroller leverandørens sikkerhed
Krav til testeren
Ved almindelige penetrationstest i testprogrammet stiller forordningen krav om, at test gennemføres af uafhængige parter, interne eller eksterne. Det betyder, at uafhængigheden skal kunne dokumenteres, også hvis testen gennemføres af virksomhedens egne medarbejdere. → Uafhængig penetrationstest
Ved TLPT er kravene mere detaljerede og omfatter blandt andet testerens egnethed, faglige standarder og forsikring. De står i artikel 27 og bør læses direkte i forordningen. Spørg testeren konkret, hvordan de krav, der gælder for opgaven, er opfyldt, og få svaret på skrift. → Krav til penetrationstesteren
Det skal I lade være med
- At kalde en almindelig test en TLPT · TLPT har egne krav til omfang, testere og forløb.
- At se penetrationstest som hele testprogrammet · Forordningen nævner flere testformer.
- At springe proportionaliteten over · Kravene afhænger af virksomhedens størrelse og risikoprofil.
- At glemme leverandørerne · Systemer hos tredjeparter skal også med i overvejelserne.
- At bruge en rapport som bevis på overholdelse · En test viser tekniske forhold, ikke at forordningen er opfyldt.
Hvad kan og ikke kan konkluderes
En penetrationstest kan bidrage til virksomhedens testprogram efter DORA og give et grundlag for at vurdere de systemer, der indgik. Den er ikke alene et bevis for, at forordningens krav er opfyldt, og den erstatter ikke en TLPT, hvis virksomheden er udpeget til det.
Hvilke krav der gælder, og om de er opfyldt, er en vurdering for virksomheden, dens rådgivere og tilsynsmyndigheden.
Tjekliste før næste test
- ☐ Er det afklaret, om og hvordan DORA gælder for virksomheden?
- ☐ Er det kortlagt, hvilke systemer der understøtter kritiske eller vigtige funktioner?
- ☐ Er det klart, hvor penetrationstesten passer ind i testprogrammet?
- ☐ Er det afklaret, om virksomheden er udpeget til TLPT?
- ☐ Kan testerens uafhængighed dokumenteres?
- ☐ Er systemer hos leverandører og deres tilladelser afklaret?
- ☐ Er der en proces for at håndtere og følge op på fundene?
Kilder
- DORA, forordning (EU) 2022/2554, artikel 2, 4, 5, 24, 25, 26, 27 og 64: anvendelsesområde, proportionalitet, ledelsens ansvar, testprogram, testformer, TLPT, krav til testere og anvendelsesdato.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rapport til bestyrelsen · Standarder for penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
