Hvad må vi sige offentligt om vores sikkerhedstest?

En gennemført sikkerhedstest er noget, ledelsen gerne vil kunne fortælle om. Den viser omhu, og kunder og samarbejdspartnere spørger efter den slags. Men en omtale, der siger for meget eller for lidt præcist, kan gøre mere skade end gavn. Svaret på, hvad der må siges offentligt, hviler på to krav: udsagnet skal kunne dokumenteres og må ikke give et forkert indtryk, og det må ikke afsløre oplysninger, der kan hjælpe den, der vil angribe virksomheden. Teksten er ikke juridisk rådgivning.

Hvad loven forventer af udsagnet

Markedsføringsloven gælder for privat erhvervsvirksomhed. Efter § 5 må en erhvervsdrivendes handelspraksis over for forbrugere ikke indeholde urigtige oplysninger eller på anden måde vildlede, uanset om oplysningerne er faktuelt korrekte. Bestemmelsen nævner blandt andet erklæringer eller symboler, der direkte eller indirekte giver indtryk af støtte eller godkendelse. Over for andre virksomheder gælder § 20, som forbyder handelspraksis, der er egnet til at vildlede.

For ledelsen er det værd at bemærke, at et udsagn kan være vildledende, selv om hvert ord i det er rigtigt. En sætning om, at “vores systemer er testet af eksterne eksperter”, kan være sand, men give indtryk af, at alle systemer er testet, hvis kun webshoppen var med. Hvordan reglerne bruges på et bestemt udsagn, kan en advokat vurdere. → Løfter om sikkerhed til kunderne

Ord, der lover mere, end testen kan

Nogle ord bør ledelsen være særligt opmærksom på, fordi de antyder en godkendelse, som en sikkerhedstest ikke giver:

Godkendt · en penetrationstest er ikke en godkendelse, men en afprøvning på et bestemt tidspunkt.
Certificeret · ordet hører til certificeringsordninger med en udstedende instans, ikke til en test.
Bestået · en test har fund, ikke en karakter, og ordet kan få et kritisk fund til at se ud som en fejl i omtalen.
Sikker · ingen test kan dokumentere, at virksomheden er sikker.
Løbende testet · kun hvis der faktisk er en fast plan, som følges.

Brug i stedet en beskrivelse af, hvad der er sket: hvilke systemer der blev testet, hvornår, og at fundene er fulgt op. → Testen skal bestås: en misforståelse

Hvad der ikke bør stå offentligt

Selv et korrekt udsagn kan sige for meget. Offentlig omtale bør ikke indeholde oplysninger, som gør det lettere at angribe virksomheden:

Konkrete svagheder · heller ikke dem, der er rettet, med detaljer om, hvad de bestod i.
Systemnavne og versioner · beskrivelser af, hvilke løsninger der bruges og hvordan.
Områder, der ikke er testet · en liste over det, testen ikke dækkede, kan læses som en invitation.
Planlagte testdatoer · oplysninger om, hvornår der testes, hører til dem, der skal vide det.

Grænsen mellem åbenhed og for mange detaljer går ved det, kunder og samarbejdspartnere har brug for at vurdere virksomheden, og ikke længere. → Kundedata og forretningshemmeligheder

Forsigtigheden gælder også, når resultatet ikke var godt. Ledelsen kan komme i den situation, at kunder eller presse spørger til en test, hvor resultatet var dårligt. Her gælder det samme princip: sig det, der kan dokumenteres, og intet om detaljerne. Et svar kan være, at testen fandt forhold, som virksomheden har prioriteret og er i gang med at rette, og at ledelsen følger arbejdet. Det er et ærligt svar, som ikke giver oplysninger, der kan misbruges, og som stadig holder, når rettelserne er gennemført. Det kræver blot, at ledelsen faktisk følger arbejdet, så svaret er sandt.

Tilbud og årsrapport er også offentlighed

Det er ikke kun hjemmesiden, der tæller. Et tilbud sendes til én kunde, men det kan blive læst af flere i kundens organisation og blive en del af aftalegrundlaget. En sætning om sikkerhedstest i et tilbud bør derfor være lige så præcis som på hjemmesiden, og den bør passe til det, kunden har fået at vide i sit sikkerhedsspørgeskema.

Årsrapporten og ledelsesberetningen er et særligt tilfælde, fordi de underskrives af ledelsen og læses af ejere, långivere og offentligheden. Hvis virksomheden vælger at omtale sin sikkerhedsindsats dér, bør omtalen bygge på det samme dokumenterede grundlag som alt andet. → Sikkerhedsspørgeskemaet fra kunden

Testerens navn, og hvem der godkender teksten

Ønsker virksomheden at nævne, hvem der har testet, bør det aftales med testeren først. Det samme gælder citater, logoer eller formuleringer, der ser ud til at komme fra testeren. En omtale, der lader en tredjepart gå i god for virksomhedens sikkerhed, skal kunne stå for en prøvelse både hos testeren og hos læseren. Hvordan en kort testerklæring kan se ud, er beskrevet på penetrationtest.dk.

Omtale af sikkerhed kan opstå flere steder: på hjemmesiden, i tilbud, i årsrapporten, i pressemeddelelser og i medarbejdernes egne opslag på sociale medier. Ledelsen bør fastlægge, at sætninger om sikkerhedstest og sikkerhedsniveau godkendes af den, der ejer sikkerheden, før de bruges. Det kan gøres enkelt med en kort liste over godkendte formuleringer, som salg og kommunikation kan bruge uden at spørge hver gang.

Listen skal have en dato. Når en test bliver ældre, eller når systemerne ændrer sig, skal formuleringerne gennemgås igen. → Sikkerhedstest og virksomhedens omdømme

Et tænkt eksempel

En tandlægekæde har fået testet sit bookingsystem og sin journalløsning. Marketingafdelingen foreslår en nyhed på hjemmesiden med overskriften “Vores IT-sikkerhed er godkendt af eksperter”.

Den administrerende direktør beder om en anden formulering. Nyheden fortæller nu, at kæden har fået bookingsystemet og journalløsningen testet af en ekstern tester i foråret, at de fund, testen gav, er rettet, og at kæden vil teste igen efter en plan. Testerens navn er ikke nævnt, fordi det ikke er aftalt. Formuleringen bliver samtidig lagt i listen over godkendte sætninger med en dato for næste gennemgang.

Det skal I lade være med

At bruge ord som godkendt, certificeret eller bestået om en test · de lover en godkendelse, testen ikke giver.
At skrive “vores systemer”, når kun nogle var med · nævn, hvad testen omfattede.
At fortælle om svagheder eller systemnavne · det hjælper kun den, der vil angribe.
At nævne testeren uden aftale · navn og ord skal aftales først.
At lade gamle formuleringer stå · omtalen skal følge testens alder.

Hvad kan og ikke kan konkluderes

En præcis, dokumenteret og forsigtig omtale kan vise omverdenen, at virksomheden tager sikkerheden alvorligt, uden at love mere, end testen kan bære. Det kan ikke konkluderes generelt, om en bestemt formulering er lovlig. Det afhænger af sammenhængen, af modtageren og af, hvad virksomheden kan dokumentere. → Én test, flere modtagere

Tjekliste før omtalen offentliggøres

☐ Kan hvert udsagn dokumenteres med dato og omfang?
☐ Er ord som godkendt, certificeret, bestået og sikker undgået?
☐ Er svagheder, systemnavne og planlagte testdatoer holdt ude?
☐ Er det aftalt med testeren, hvis testeren nævnes?
☐ Er formuleringen godkendt af den, der ejer sikkerheden?

Kilder

Markedsføringsloven, LBK nr. 1420 af 02/12/2024: § 5, stk. 1, om vildledende handelspraksis over for forbrugere og stk. 2, nr. 4, om erklæringer eller symboler med direkte eller indirekte støtte eller godkendelse; § 20, stk. 1, om vildledning over for andre erhvervsdrivende.

Senest gennemgået: oktober 2026.