Baklyset Due Diligence · For M&A-advokater og oppkjøpsteam
Baklyset Due Diligence er en passiv, ekstern kartlegging av selskapet dere vurderer å kjøpe: det en motpart kan se utenfra, og som ikke ligger i datarommet. Kartleggingen kobler seg ikke til selskapets servere; alt hentes fra offentlige kilder og tredjeparter. Innen 24 timer har dere funnene sortert etter hva de betyr for avtalen, spørsmål til selger og en rapport til datarommet.
Hvorfor
Før en signatur vil en kjøper vite hva omverdenen kan se av selskapet: domenene det drifter, e-posten som kan forfalskes i dets navn, sertifikatene det har latt gå ut, de ansattes pålogginger som sirkulerer i kriminelle logger, hendelsen lokalavisen skrev om for to år siden.
Hvert funn plasseres etter hva det betyr for avtalen, ikke etter teknisk hastegrad, og får et nummer som er det samme i rapporten, spørsmålslisten og vedlegget til kjøpsavtalen.
Spørsmålene går til selger i Excel. Svarene lastes opp og vurderes mot funnene, runde for runde, og en ny kjøring før closing viser hva som er borte og hva som fortsatt er der.
Hele kjøringen som data, med sjekksum som også står i rapporten og et manifest signert av deres instans. Rapporten sier selv hva den ikke viser, også når en kilde ikke svarte.
Hva som kartlegges
Forhold som kan påvirke om, eller på hvilke vilkår, avtalen bør inngås. Nummerert PC-1 PC-2 og så videre, så de kan siteres i forhandlingen.
Grunnlag for garantier, eventuell prisjustering og 100-dagersplanen. Hvert forhold har sitt garantiområde: e-postsikkerhet, domenenavn, sikkerhetshendelser og personvern, IT-systemer og sårbarheter, drift og kontinuitet.
Det som bør være kjent, men ikke bør styre forhandlingen. Alt med kilde og tidspunkt. Nivået følger regler en advokat kan forsvare: et utløpende domene er før signering bare når det er bekreftet i bruk, og en omtalt hendelse bare når den er datert, nylig og vurdert med sikkerhet.
I transaksjonen
Organisasjonsnummer, kodenavn, formål og språk. Omfanget foreslås fra Enhetsregisteret; dere bekrefter og tar inn eller holder konsernselskaper utenfor.
Kartleggingen venter på sertifikatloggene, høyst 20 timer, og ser så på navnene. Den som startet den, får e-post når den er ferdig, med kodenavn og lenke, aldri selskapets navn.
PDF og Word på sakens språk, norsk eller engelsk. Spørsmålslisten i Excel går til selger.
Last opp den utfylte listen. Hvert svar vurderes mot funnene, først etter regel, så av KI for svar i ord, runde for runde.
Ny kjøring før closing sammenlignes med grunnlaget dere velger, for eksempel signeringen. Vedlegg til SPA og datarompakke.
Leveransene
En A4-rapport med kodenavn og prioritet for oppfølging på forsiden, et sammendrag med nøkkeltall og matrise over forhold per område, funnene som kort med spørsmål til selger, offentlig omtale, e-postsikkerhet per domene, lekkasjer, leverandører med andel etablert i USA, indekserte tjenester, planen, omfanget, metoden og hva kartleggingen ikke viser. Det samme i Word, redigerbart.
Hvert funn har nøytrale spørsmål til selger. Listen lastes ned som Excel, med garantiområde, detaljer, data og kilde. Den utfylte listen lastes opp igjen: hvert svar sammenlignes med funnene, og listen kommer tilbake vurdert. Åpne spørsmål, ubesvart eller motsagt mens funnet fortsatt sees, går inn i rapportene.
Nytt, ikke lenger sett og fortsatt sett siden signering, koblet mot selgers siste svar: «selger oppgir fikset, kjøringen ser det fortsatt». Med lekkasjetall da og nå, de åpne spørsmålene og kjøringens hull. En påminnelse går til sakens medlemmer en uke før closing-datoen dere setter.
Én side til bruk som bilag til SPA: forholdene før signering og for pris og vilkår, PC-nummer først, hvert med garantiområde, nivå og én linje grunnlag, og én linje med kjøringens dato, saken og sjekksummen. Ingen metodetekst. PDF og Word.
Hele kjøringen som data, med tidspunktet hver kilde ble spurt. Sjekksummen (SHA-256) står i rapporten, og manifestet er signert (Ed25519) av deres instans; nøkkelens fingeravtrykk står i rapportens metodedel. Signaturen beskytter pakkens integritet, ikke sannheten i tredjepartsdataene. Datarompakken samler rapport, spørsmålsliste, bevis og closing-oppdatering i én zip med signert innholdsfortegnelse.
Inntil åtte saker i én sammenligning, på siden og som liggende PDF: omfang og hull, risiko og forhold per nivå, e-postsikkerhet per protokoll, andel leverandører i USA, kjente lekkasjer og infiserte maskiner. Med varsel når omfanget er for ulikt til å sammenlignes.
Hvert funn merkes med det punktet i NIS2 artikkel 21(2) det er bevis mot, og rapporten antyder ut fra næringskoder og antall ansatte om selskapet trolig omfattes av digitalsikkerhetsloven. En indikasjon, merket «bekreftes av advokat», som sier hva den ikke har vurdert.
Forsiden og hver e-post omtaler saken med kodenavnet. En sak er synlig bare for medlemmene og instansens administratorer; for alle andre finnes den ikke. Hver tildeling av tilgang loggføres, og loggen er for administratorer.
Listen over hva kartleggingen ikke viser, er en del av leveransen: at alle domener er funnet, at tredjepartsdata er riktige, og det bare dokumenter, intervjuer og en teknisk gjennomgang med selskapets samtykke kan svare på. En kjøring som ikke ble ferdig, sier det i metoden som et hull.
IT-revisjon
For eksterne revisorer og internrevisjon. Med formålet «IT-revisjon» får den samme passive kartleggingen en egen del om generelle IT-kontroller, et arbeidspapir i Excel og en handlingsplan til klienten, lagt opp for revisjonsdokumentasjonen.
Tilgangsstyring, endringshåndtering, IT-drift og tjenesteleverandører (ISA 402). Hver sjekk hører til ett område, eller til «ikke et ITGC-område», med en kort begrunnelse ved funnet. Et tomt område betyr «ingen indikasjon utenfra», aldri «godkjent».
Hver rad sier om forholdet er observert i offentlig DNS, rapportert av tredjepart, eller utledet og må bekreftes, med kilde og kildedato og en bevisreferanse inn i den signerte bevispakken.
Forside med klient, omfang, metode, forbehold, kjøringens SHA-256 og signeringsnøkkelens fingeravtrykk. Én rad per funn per navn: referanse, område, observasjon, grunnlag, kilde, nivå og bevisreferanse, og et eget ark for tjenesteleverandører. Relevans, utført arbeid og konklusjon er revisors egne kolonner. Bare tekst, ingen formler.
Relevant for forståelsen av IT-miljøet og risikovurderingen etter ISA 315 (revidert); ikke en test av utformingen, implementeringen eller effektiviteten til noen kontroll (ISA 330), og ikke en attestasjon etter ISAE 3000 eller 3402. Revisor vurderer selv relevans og pålitelighet som revisjonsbevis. Utvidet innsamling, der nettsidene besøkes som en vanlig besøkende ville gjort, finnes bare her og bare når selskapet som revideres har samtykket; fortsatt ingen portskanning og ingen stisøk.
Demonstrasjonssaken «Losen» viser en IT-revisjon på norsk, med rapport, arbeidspapir og bevispakke. Be om å få se den.
Leverandøroppfølging
For den som svarer for leverandørkjeden etter NIS2 artikkel 21(2)(d) og DORA. Samme kartlegging av hver leverandør, med nivåer og plan for en avtale: avklares før avtale, bør reguleres i avtalen, øvrige observasjoner.
Listen lastes opp som CSV eller Excel med organisasjonsnumre. Hvert nummer kontrolleres og slås opp i Enhetsregisteret, og hver leverandør får sin egen sak. Bare det selskapet selv har registrert, hjemmeside og e-postdomene, bekreftes uten en person; alt annet foreslås for gjennomgang. Porteføljesiden viser prioritet, forhold per nivå, siste kjøring og neste, og kan lastes ned som Excel.
En leverandørsak varer 400 dager som standard og kjøres på nytt etter et år, så den overlever den årlige kjøringen. Rapporten viser hva som er nytt, utbedret, ikke lenger observert og fortsatt sett siden sist, og om omfanget er endret.
Omfang og hull, prioritet og forhold per nivå, e-postsikkerhet per protokoll, andelen av leverandørens egne leverandører som er etablert i USA, kjente lekkasjer og infiserte maskiner, på siden og som liggende PDF. Med varsel når omfanget er for ulikt til å sammenlignes.
Hvert funn har nøytrale spørsmål til leverandøren, i Excel; svarene lastes opp og vurderes mot funnene. Planen er avtalekravene: det som bør avklares før avtalen inngås eller fornyes, og det som hører hjemme i avtalen eller databehandleravtalen.
Demonstrasjonssaken «Havbris» viser en leverandørvurdering på engelsk. Den løpende oppfølgingen av nøkkelleverandørene, dag for dag og med nyheter om dem, ligger i Baklyset Assurance.
Slik jobber vi
Ingen oppslag på nettsidene, ingen TLS-oppkobling, ingen portskanning, ingen stisøk, ingen gjetting av vertsnavn. Sertifikater leses fra åpne logger, porter fra Shodans indeks, DNS fra offentlige resolvere, som ved behov spør selskapets navnetjenere, slik de gjør for enhver nettleser. Det er det ene stedet et spor ikke helt kan utelukkes. Aktive sjekker finnes ikke i en oppkjøps- eller leverandørsak; det er ingenting å slå på ved en feil.
Rapporten beskriver hva offentlige kilder viste på oppgitte tidspunkter. Den er ikke juridisk rådgivning, ikke en penetrasjonstest, ikke en sårbarhetsskanning og ikke en bekreftende due diligence. Den lages automatisk på kundens instruks, uten manuell gjennomgang, er bare for kunden, og sier det selv på forsiden. Ingen hos Baklyset vurderer saken.
Saken lagres på Baklysets server i Norge. Hver kunde får sin egen instans, adskilt fra alle andre kunder, og saken er synlig bare for sakens medlemmer og administratorer. Søk og vurdering bruker Brave Search og Anthropic (Claude) i USA: Brave får selskapets navn med søkeordene og organisasjonsnummeret; Claude får søkeresultatene, selskapets registerdata og domener, navnene på konsernselskapene dere tok med, funnene og selgers svar når dere laster dem opp. Ingen av dem får vite hvem kunden er. Øvrige kilder får bare domenenavn, IP-adresser eller det registrerte navnet. Databehandleravtalen og tillegget for Due Diligence beskriver dette.
Hver sak har en sluttdato, 90 dager som standard for et oppkjøp og høyst to år fram, som dere kan endre. Den dagen slettes saken med omfang, kjøringer og selgers svar, og loggen viser det. En administrator kan slette en sak når som helst. Faktureringsgrunnlaget som blir igjen, viser bare sakens kodenavn, aldri selskapets navn.
Setningene om offentlig omtale navngir ingen. Lekkasjedata er bare tall. Det som er igjen, er det offentlig DNS og registre selv publiserer, som en registrant eller en DMARC-rapportadresse. Et enkeltpersonforetak søkes ikke opp i offentlig omtale, siden navnet er eierens.
Sjekkene kommer fra de eksterne sikkerhetsrevisjonene Baklyset har gjort, og kjøres her i passiv modus: det bare en oppkobling kunne fortalt, merkes som ikke vurdert i stedet for å gjettes.
Spørsmål og svar
Ikke fra oss direkte: ingenting sendes til serverne deres. Forbeholdet er DNS. En offentlig resolver uten svar i hurtigbufferen spør selskapets navnetjenere, slik den gjør for hver nettleser og e-postserver i verden, og spørsmålene er de vanlige. Kartleggingen skiller seg ikke fra vanlig trafikk, men vi garanterer ikke at den er usynlig.
Nei. Det er blikket utenfra: det offentlige kilder og indekser viser. Porter og programvare kommer fra en offentlig indeks og er spørsmål til selger, ikke bekreftede funn. En teknisk gjennomgang med selskapets samtykke hører hjemme i en bekreftende due diligence, og rapporten sier det.
Nei. Den er en indikasjon fra næringskoder og antall ansatte, merket «bekreftes av advokat», og rapporten lister hva den ikke har vurdert: omsetning, balanse, konsernselskaper utenfor Norge, om tjenester tilbys i Norge eller EØS, utpeking av en myndighet.
I Norge, på Baklysets server. Hver kunde får sin egen instans, adskilt fra alle andre kunder. Hver sak bruker to underleverandører i USA: Brave Search til søk og Anthropic (Claude) til vurdering. Under Slik jobber vi står det nøyaktig hva hver av dem får. Dere får databehandleravtale, tillegget for Due Diligence og en beskrivelse av sikkerhetstiltakene våre på forespørsel.
Ja. Demonstrasjonssaken «Fjord» kjører produktet på Nordvik Gruppen AS, et oppdiktet konsern med domener under .example, med to kjøringer å sammenligne, rapporten på norsk, spørsmålslisten, vedlegget og datarompakken. Saken «Havbris» viser en leverandørvurdering på engelsk, og «Losen» en IT-revisjon. Ta kontakt, så viser vi dem fram.
Ta kontakt, så finner vi ut av det sammen. Bruken måles per sak, med kodenavn, aldri selskapets navn.
Dere får en egen instans og kjører sakene selv, direkte fra Baklyset eller gjennom en partner. Ta kontakt, så viser vi demonstrasjonssaken og hvordan en sak legges opp. Ingen tilganger, ingenting å installere, og ingen kontakt med målselskapet.
eller skriv til post@baklyset.no
Advokatfirmaer, revisjonsselskaper, rådgivere og IT-driftsleverandører kan tilby Baklyset Due Diligence som en del av egne tjenester. Skriv til post@baklyset.no om dere vil bli partner.
