Hva som har endret seg

Ny referanse fra Datatax AS, som testet før lansering av Regnskap Next.

Sjette kunde som har skrevet om testen. Sitatet står øverst på /referanser og på forsiden, og er nå det ene sitatet som vises på tjenestesidene og bestillingssiden. Det er gjengitt ordrett, som de andre.

Ansvarsbegrensningen i scope-dokumentet er strammet inn, og siden om ansvar sier hva den nå går ut på.

Den gamle teksten satte et tak på honoraret. Den nye legger risikoen for følgene av testing innenfor avtalt omfang hos kunden, utelukker ansvar for slike tap, og bruker honoraret bare som tak for det som måtte stå igjen. Kunden holder oss skadesløse for krav fra tredjepart som springer ut av testen. Forsett og grov uaktsomhet kan fortsatt ikke fraskrives, og det står fortsatt rett ut. Dere får hele teksten før dere signerer.

Ny garanti: gir ikke rapporten deg noe konkret å utbedre, betaler du ikke.

Gjelder alle engangstester. Kommer rapporten uten ett eneste funn med en konkret anbefaling, sender vi ingen faktura. Retest og løpende tjenester er ikke omfattet.

Referansene har fått en egen side, og står nå øverst på forsiden.

Fem kunder har skrevet om testen, og sitatene lå nederst på forsiden og ingen andre steder. Nå står de tre første rett under overskriften, alle fem på /referanser, og ett av dem på tjenestesiden, på hver enkelt tjeneste og på bestillingssiden. Ingen av sitatene er endret.

Nettsidene har fått besøksstatistikk, og personvernerklæringen sier hvordan.

Vi teller nå hvilke sider som besøkes, med et verktøy som ikke setter informasjonskapsler og ikke lagrer IP-adresser. Det er fortsatt ikke noe samtykkevindu, fordi det fortsatt ikke er noe å samtykke til. Avsnittet om informasjonskapsler på /personvern er skrevet om, slik at det stemmer.

Alle tjenester oppgir nå at hvert funn dokumenteres slik at utvikleren kan reprodusere det.

Dette har alltid vært det dere får, men det sto bare oppført på webapp- og API-pentesten. Nå står det på alle. Phishing-simulering har en egen formulering, fordi den rapporterer samlet og aldri peker ut enkeltansatte: der dokumenteres kampanjen i stedet, slik at målingen kan gjentas.

Slagordet lovet noe vi ikke kan dokumentere, og er endret.

Det sto «Vi finner glippen før noen andre gjør det». Ingen kan vite at de kom først, og vi ber andre om å kunne dokumentere det de påstår. Det står nå «Vi finner glippen. Før den blir et problem», som er det testing faktisk går ut på.

Ny veiledning: slik retter dere IDOR og manglende tilgangskontroll.

Den første veiledningen som er skrevet for utvikleren som allerede har funnet, ikke for den som vurderer å bestille. Den inneholder ingen kommandoer, fordi det ikke finnes en kommando som retter tilgangskontroll i noen andres kode. Den sier også rett ut at ingen av de gratis verktøyene kan bekrefte at rettingen traff: det avgjøres av en retest, og én slik inngår.

Nye sider om feiltypene vi finner oftest, med IDOR og tenant-isolasjon først.

Hver side forklarer én feiltype: hvordan den oppstår, hvordan den faktisk avdekkes, hva som lukker den, og hva som ikke kan se den. Det siste står øverst, fordi svaret for begge disse er at verken den gratis sjekken eller noen annen skanning finner dem. Ingen av sidene beskriver hvordan en svakhet utnyttes.

Ny side om GDPR artikkel 32: hva «regelmessig testing» faktisk krever.

Artikkel 32 er sikkerhetskravet som gjelder nesten alle, i motsetning til NIS2 og digitalsikkerhetsloven. Den krever en prosess for regelmessig testing, og den nevner hverken penetrasjonstest, sårbarhetsskanning eller hvor ofte. Siden går gjennom hva som står der, hva Datatilsynet faktisk har gitt gebyr for i Østre Toten- og UiA-sakene, og hva som kan oppfylle kravet uten å kjøpe noe av oss.

NIS2-siden er kontrollert på nytt: fristen 1. juli 2026 er passert, og loven kom ikke.

Den mest gjentatte påstanden om NIS2 i Norge var at lovendringer trådte i kraft 1. juli 2026. Vi førte den opp som en dato vi ikke fant hos noen myndighet. Nå er datoen passert, og Lovdata viser fortsatt ingen endringer i digitalsikkerhetsloven og ingen norsk NIS2-lov. Siden sier det nå rett ut. Vi har også lagt til at EU la fram endringer i selve NIS2-direktivet i januar 2026, altså før Norge har innført det.

Ny side: forskjellen på digitalsikkerhetsloven og NIS2, satt opp mot hverandre.

Den ene gjelder i Norge i dag, den andre er ikke norsk rett ennå, og de blandes stadig sammen fordi den norske loven omtales som NIS2-loven. Den gjennomfører NIS1. Siden bygger utelukkende på det som allerede er kontrollert mot primærkilder på de to regelverkssidene, og gjentar forbeholdene deres i stedet for å skrive seg fri av dem.

Ny prisberegner: svar på inntil fem spørsmål og få prisen med én gang.

Den regner ikke ut et anslag. Den leser svarene mot den samme prislisten som står på tjenestesidene og viser hvilken tjeneste det blir, hva eventuelle tillegg koster og hva summen er. Der svarene peker mot noe større enn én app, sier den fra og foreslår tjenesten som er laget for det, i stedet for å legge på tillegg til det blir dyrere. Ingen e-postadresse.

Prissiden sa «fra 9 900 kroner» etter at laveste pris var satt ned til 4 900.

Feilen sto i sidebeskrivelsen som vises i søkeresultater, ikke i prislisten, så prisene på tjenestesidene har hele tiden vært riktige. Beskrivelsen henter nå laveste pris fra prislisten i stedet for å ha tallet skrevet inn, slik at den ikke kan bli stående igjen neste gang en pris flyttes.

Ny gratis sjekk: er dere omfattet av digitalsikkerhetsloven eller NIS2?

Tre spørsmål, og du får vite hvilke norske sikkerhetsregler som faktisk kan gjelde dere i dag, og hvilke som ikke gjør det ennå. NIS2 er for eksempel verken innlemmet i EØS eller gjennomført i norsk rett. Ingen e-post, og hver påstand er kontrollert mot primærkilder.

Ny tjeneste: App-sjekk, en fokusert førstetest av én app eller ett API.

En rimeligere og smalere inngang enn en full webapp-pentest. Vi logger inn som en vanlig bruker og ser etter det som betyr mest, som at én bruker kan nå en annens data. Tanken er at det skal være lett å prøve oss på noe konkret uten et stort oppdrag først.

Vi har satt ned de veiledende prisene på engangstestene.

Dette er lanseringspriser. Vi vil heller ha de første kundene og bygge erfaring og referanser enn å ta mest mulig nå. Blant annet gikk ekstern sikkerhetssjekk fra 9 900 til 4 900, webapp- og API-pentest fra 29 900 til 12 900, og full gjennomgang fra 99 900 til 39 900. Prisene kan komme til å gå opp igjen senere, når det finnes data og folk som anbefaler oss.

Sider om regelverk, sammenligninger og metode publisert.

Sidene om regelverk sier hvilke datoer og krav vi har klart å bekrefte mot kilden, og hvilke som sirkulerer uten at vi finner dem noe sted. Hver av dem har en dato for når kildene sist ble kontrollert.

Hver tjeneste har fått sin egen side, med pris og hva som ikke inngår.

Ti tjenester delte tidligere én side med ti anker. Nå har hver sin adresse, slik at den kan leses, deles og finnes for seg.

Forretningsadresse og en side om hvem som står bak er publisert.

Organisasjonsnummer, adresse og foretaksform står nå på nett, slik at de kan kontrolleres hos Brønnøysundregistrene uten å spørre oss. Siden sier også at foretaket ikke har ansvarsforsikring.

Seks nye tjenester lagt til: internnett og Active Directory, skyplattform, mobilapp, kodegjennomgang, phishing-simulering og full gjennomgang.

Dette er arbeid vi allerede gjorde, men som bare sto nevnt i et avsnitt om at listene ikke er en grense. Nå har det pris og omfang som alt annet.

Prisene er omtalt som veiledende i stedet for faste, og siden sier hva det betyr.

Ikke fordi regningen kan vokse. To oppdrag av samme type er sjelden like store, så tallet er det arbeidet vanligvis koster. Prisen avtales skriftlig før noe settes i gang, og finner vi mer enn ventet innenfor avtalt omfang, koster det ikke mer. Tidligere sto det fast pris seks steder og veiledende ett sted, som var en selvmotsigelse.

Seks veiledninger og en ordliste publisert.

Én veiledning for hvert område den gratis sjekken ser på, med kommandoer dere kan kjøre selv. De ligger ute fordi det meste av dette kan dere gjøre selv, og da bør dere gjøre det selv.

Avkrysningsboksen for oppfølging virket ikke på to av skjemaene, og er rettet.

Sjekklisten og regnestykket leste av boksen og sendte den ikke videre. Siden feltet står til ja som standard, mistet det ikke svaret, det snudde det: de som aktivt hadde tatt bort haken ble registrert som at de kunne kontaktes. Ingen e-post er sendt på det grunnlaget. Rettet samme dag som det ble oppdaget.

Den gratis eksterne sjekken er tatt i bruk for ekte domener.

Den leser DNS, e-postoppsett, sertifikat og svarhoder, og henter forsiden én gang slik en nettleser gjør. Ingenting logges inn på, ingen porter skannes.