En testrapport skal vise, hvad der blev testet, mod hvilke kriterier, med hvilket resultat, hvad der ikke virkede, og hvem der har godkendt det. Den skal kunne læses på få minutter af en, der ikke var med. En side eller to rækker, og afvigelserne er den vigtigste del, for det er dem, der viser, at testen var ægte.
Rapporten er det, der bliver tilbage af testen. Uden den er testen en historie, nogen kan fortælle, indtil personen stopper. Der findes mange skabeloner til en backup test rapport, og de fleste nøjes med et flueben. Her er felterne til en testrapport for gendannelse og eksport, som også kan bruges ved en skrivebordsøvelse.
Hvad der forventes, og af hvem
Der er ikke noget lovkrav om en exit-testrapport. SAMSIK’s vejledning til NIS2-lovens sikkerhedsforanstaltninger nævner dog jævnlig test af både backup og gendannelsesprocedurer og siger, at testresultaterne bør dokumenteres og godkendes af ledelsen (s. 23). Det er en vejledning, og den er skrevet til enheder under loven. Bilaget til gennemførelsesforordning 2024/2690 har samme krav i punkt 4.2.6, men forordningen gælder bestemte digitale tjenester. For alle andre er de to en model. Sammenhængen med NIS2 står i test af gendannelse under NIS2.
Læserne er forskellige. Ledelsen vil vide, om den kan regne med planen, og hvad der kræver en beslutning. En kunde vil se, at I har gjort det, uden at få indblik i detaljer. En revisor vil kunne følge sporet fra krav til resultat. Hvad en revisor præcist vil bede om, varierer, og vi har ingen kilde til deres praksis. Skriv derfor, så en udenforstående kan følge logikken.
Felterne
Forside i fem linjer. System, dato, testtype og niveau, samlet resultat (bestået, bestået med fund eller ikke bestået), og hvad ledelsen skal gøre.
Formål og omfang. Hvilket scenarie, hvad der var med, og hvad der bevidst var udenfor. Det, der var uden for testen, er ofte det mest interessante for en kritisk læser.
Kriterier. Kriterierne, som de stod før testen, med dato. Se hvad er en bestået test?.
Resultat pr. kriterium. Målt værdi, opfyldt eller ikke opfyldt, og hvor beviset ligger.
Tidslinje. Klokkeslæt fra start over de vigtigste trin til slut. Målt tid over for den tid, forretningen kan tåle.
Kopi og miljø. Hvilken kopi der blev brugt, hvor gammel den var, og hvor testen foregik. Se gendannelse et andet sted.
Afvigelser og fund. Hvad der ikke virkede, hvor alvorligt det er, hvem der ejer rettelsen, og hvornår den er færdig.
Rettelser i planen. Hvad der er ændret i vejledning og plan som følge af testen, med versionsdato.
Deltagere. Roller frem for en lang navneliste, og hvem der lavede kontrollen.
Godkendelse. Navn og dato på den, der godkender, og hvor ledelsen har set det.
Næste test. Dato og hvad den skal se på.
Afvigelserne er rapportens rygrad
En rapport uden fund ser pæn ud, og den vækker mistanke. En ærlig test finder næsten altid noget: en vejledning, der var forældet, en adgang, der manglede, en person, der blev ringet op i ferien. Skriv det ligeud. Giv hver afvigelse én af tre kategorier: skal rettes før næste test, skal rettes inden en dato, eller accepteres. En accept har navn på.
Følg op. En afvigelse uden ejer er bare en ny antagelse. Sæt punkterne ind i planens liste, og vis ledelsen, hvor mange der er åbne, på exit-status til ledelsen. Dumper en test, er det rapporten, der viser, at virksomheden tager det alvorligt.
Det, der ikke skal i rapporten
- Adgangskoder, nøgler og tekniske detaljer om sikkerheden. Rapporten bliver læst af mange.
- Rigtige persondata. Brug antal og poster uden navne. Skærmbilleder skal vaskes.
- Fornemmelser. “Det gik fint” er ikke et resultat.
- Forklaringer, der skal redde testen. Skriv afvigelsen, og læg begrundelsen ved siden af.
- Navngivning af personer som årsag. Find fejlen i forløbet, og lad personerne være.
Lav desuden en kort kundeudgave. En kunde skal normalt ikke se jeres miljø, leverandører og sårbarheder. To linjer om testdato, type, omfang og resultat er ofte nok, og den fulde rapport kan vises ved et møde. Tænk over fortrolighed, for en leverandørs oplysninger kan være omfattet af kontrakten. Hvad kunder typisk spørger om, gennemgås i kunden kræver en exit-plan.
Hvad det kræver, og hvad det koster at lade være
Rapporten tager få timer at skrive, hvis loggen er ført undervejs, og længere, hvis den skal genskabes bagefter. Tænk den med i testens overslag som et lavt og et højt skøn med dato. Godkendelsen kræver en halv time af en leder. En fast skabelon gør næste rapport billigere.
Uden rapport betaler I to gange. Først for testen, der ikke kan bruges som dokumentation, og igen når en kunde, en bestyrelse eller et tilsyn spørger, og nogen skal samle svaret sammen fra hukommelsen. Regn i egne tal, hvor mange timer sådan et svar har taget sidst. Rapporten er det nemmeste bevis, planen kan give, selv om intet bliver flyttet.
Det skal I lade være med
- At skrive rapporten en måned efter · detaljerne er væk, og kun den pæne version er tilbage.
- At lade fund forsvinde fra rapporten · så forsvinder grunden til at teste.
- At bruge samme rapport til alle læsere · en kunde og en ledelse skal se hver sit.
Det skal planen kunne vise
- ☐ En rapport for hver gennemført test.
- ☐ Kriterier med dato før testen og resultat pr. kriterium.
- ☐ Tidslinje og målt tid.
- ☐ Afvigelser med kategori, ejer og dato.
- ☐ Godkendelse fra den relevante ledelse.
- ☐ En kort kundeudgave uden følsomme detaljer.
Kilder
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 23. Vejledning, ikke lovkrav.
- Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 4.2.6. Gælder bestemte digitale tjenester og bruges her som model.
Senest gennemgået: november 2026.
Næste skridt
Lav skabelonen ud fra felterne ovenfor, og brug den på den næste test, også en lille en. Giv forsiden til ledelsen, og spørg, hvad de mangler.
Læs også: Test en eksport nu · Bestyrelsen spørger
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
