NIS2-loven kræver, at sikkerhedsforanstaltningerne omfatter håndtering af sårbarheder, men hverken loven eller myndighedens vejledning fastsætter, hvor hurtigt en opdatering skal være installeret. Den beslutning ligger hos jer. En brugbar politik for sårbarhedshåndtering består af tre dele: frister, der afhænger af sårbarhedens alvor og af, hvor udsat systemet er, en regel for undtagelser, når en opdatering ikke kan installeres, og en fast rapportering til ledelsen om, hvorvidt fristerne holdes. Den eksterne CISO skriver udkastet, IT-leverandøren bekræfter, at det kan leveres, og direktionen godkender det.
Lovens krav og vejledningens indhold
Efter § 6, stk. 1, nr. 5, i lov nr. 434 af 6. maj 2025 skal foranstaltningerne dække sikkerheden, når systemerne købes, udvikles og vedligeholdes. Bestemmelsen nævner udtrykkeligt, at sårbarheder skal håndteres, og at offentliggørelse af dem hører med. Bredden i bestemmelsen, fra indkøb til udfasning, er gennemgået i sikkerhed ved anskaffelse og udvikling. Her handler det om den løbende del.
SAMSIKs vejledning til implementering af foranstaltningerne beskriver sårbarhedshåndtering i afsnit 5b. Enheden skal have procedurer, der gør det muligt at indhente oplysninger om tekniske sårbarheder, vurdere hvor udsat den er, og håndtere sårbarhederne. Vejledningen anbefaler desuden, at enheden:
- følger med i meldinger fra CSIRT, den sektoransvarlige myndighed og leverandørerne,
- dokumenterer begrundelsen, når en sårbarhed ikke udbedres,
- scanner for sårbarheder med faste mellemrum og ved større ændringer eller hændelser,
- afstemmer håndteringen med ændringsstyring og hændelseshåndtering,
- håndterer kritiske sårbarheder uden unødige forsinkelser.
Ordene “uden unødige forsinkelser” er vejledningens grænse. Hvad det betyder i dage og timer, er op til jer at fastsætte og dokumentere.
Hvorfor fristen er en ledelsesbeslutning
En frist er en afvejning mellem risiko og drift. En hurtig opdatering kan kræve, at et system genstartes midt på dagen, og en langsom kan efterlade en åben dør i ugevis. Den afvejning angår forretningen, og derfor hører den hjemme hos ledelsen.
SAMSIK beskriver i “Cybertruslen mod Danmark 2025”, at både statslige og kriminelle hackere i høj grad udnytter kendte sårbarheder, og at der i nogle tilfælde kun går minutter fra offentliggørelsen til de første angrebsforsøg. Myndigheden peger også på, at organisationer i andre tilfælde blot undlader at prioritere opdateringerne og derfor står udsat længe. Det er den prioritering, en politik med frister gør synlig.
Frister efter alvor og eksponering
En politik bliver brugbar, når fristen afhænger af to forhold: hvor alvorlig sårbarheden er, og om systemet kan nås fra internettet. Producenterne og de offentlige databaser angiver typisk alvoren på en skala, så klassificeringen kræver sjældent egen analyse.
Et eksempel på en fordeling, som en virksomhed kan vælge, er:
- Kritisk og udsat mod internettet: opdatering eller afbødning inden for et par døgn, også uden for normal arbejdstid.
- Kritisk på interne systemer eller høj alvor på udsatte systemer: inden for en uge.
- Høj alvor på interne systemer: inden for en måned.
- Middel og lav: med næste planlagte opdateringsvindue.
Tallene er et eksempel og ingen anbefaling fra myndighederne. Det vigtige er, at fristerne står skrevet, og at de passer til jeres systemer og jeres driftsaftale. Udnyttes en sårbarhed allerede aktivt, bør den rykke en kategori op. Det giver også mening at se på, hvilke systemer der bærer forretningen, så overblikket over aktiverne kobles til fristerne, se forvaltning af aktiver.
Når en opdatering ikke kan installeres
Nogle systemer kan ikke opdateres til tiden. Det kan være en styring på fabriksgulvet, som leverandøren skal godkende ændringer til, eller et ældre system uden opdateringer fra producenten. SAMSIK nævner, at aktive scanninger af OT-miljøer kan give forstyrrelser og nedetid, og at passiv overvågning kan være et alternativ.
Politikken skal derfor beskrive, hvem der må give en undtagelse, hvilke afbødende tiltag der kræves imens, fx adskillelse fra resten af netværket, og hvornår undtagelsen udløber. Den generelle proces for undtagelser er beskrevet i undtagelser fra sikkerhedsreglerne. Systemer, der aldrig vil få opdateringer igen, hører på listen over risici, som ledelsen tager stilling til.
Leverandørens del
I de fleste mindre virksomheder er det IT-leverandøren, der installerer opdateringerne. Fristerne i politikken skal derfor kunne genfindes i driftsaftalen, ellers har virksomheden en politik, som ingen er forpligtet til at følge. Aftalen bør også sige, hvordan leverandøren rapporterer, og hvad der sker, når en frist overskrides. Hvordan sikkerhedskravene skrives ind i aftalen, står i sikkerhedskrav til IT-leverandøren.
Cloudtjenester og standardsystemer kræver en særlig linje i politikken. Her installerer udbyderen selv rettelserne i sin platform, men opsætningen, tilføjelsesprogrammerne og de lokale klienter er stadig jeres. Politikken bør derfor sige, hvem der læser udbyderens sikkerhedsmeddelelser, og hvem der vurderer, om en melding kræver handling hos jer. I mange mindre virksomheder er det en opgave, der hverken ligger hos driftsleverandøren eller internt, før nogen får den tildelt.
Når en test finder sårbarheder, gælder de samme frister. Prioriteringen af testfund og opfølgningen hos leverandøren er beskrevet på nis2-pentest.dk under afhjælpning af kritiske fund.
Rapporteringen til ledelsen
Ledelsen skal kunne se, om fristerne holdes, uden at læse tekniske lister. Tre tal er som regel nok: hvor stor en andel af de kritiske sårbarheder der blev lukket inden for fristen, hvor mange undtagelser der er åbne, og hvor mange systemer der kører uden opdateringer fra producenten. Tallene hører med i den faste rapport, se nøgletal for sikkerhed.
Overskrides fristerne gentagne gange, er det et ledelsesspørgsmål. Måske er fristerne urealistiske, måske leverer leverandøren ikke det aftalte. Begge dele kræver en beslutning, og den skal stå i referatet sammen med den nye frist eller den aftalte rettelse hos leverandøren.
Det skal I lade være med
- At kopiere frister fra et andet firma. De skal passe til jeres systemer og jeres driftsaftale.
- At lade fristerne stå i politikken alene. Står de ikke i aftalen med leverandøren, er de uden virkning.
- At give undtagelser uden slutdato. De bliver til permanente huller.
- At gemme systemer uden opdateringer væk. De skal frem som risici, som ledelsen kender.
- At nøjes med leverandørens forsikring om, at alt er opdateret. Bed om tal.
Det skal I kræve af den eksterne
- ☐ Et udkast til politik med frister efter alvor og eksponering.
- ☐ En procedure for, hvem der følger med i meldinger fra CSIRT og leverandører.
- ☐ En regel for undtagelser med afbødende tiltag og udløbsdato.
- ☐ Afstemning af fristerne med driftsaftalen.
- ☐ Tre faste tal i rapporten til ledelsen.
- ☐ Anbefalinger om værktøjer og løsninger uden økonomisk interesse i valget.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 5, om håndtering og offentliggørelse af sårbarheder, og § 7 om ledelsesorganets godkendelse.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: afsnit 5b om håndtering af sårbarheder.
- SAMSIK: Cybertruslen mod Danmark 2025: afsnittet om udnyttelse af sårbarheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgning på leverandøren · Korrigerende foranstaltninger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
