de spørger om vores fuldstændige sikkerhedspolitik som dokument

Det er normalt ikke nødvendigt at dele det fulde politikdokument

Nej, i de fleste tilfælde er det ikke nødvendigt, og det er heller ikke det, som kunden egentlig ønsker at vide. Et spørgsmål som "send jeres sikkerhedspolitik" er næsten altid en oversættelse af noget mere specifikt: kunden ønsker at vide, om der findes en politik for risikovurdering, om der foreligger en procedure for hændelser, eller om adgangen er ordentligt reguleret. Det er de ti foranstaltninger i artikel 21, stk. 2 i NIS2, og samme inddeling kan ses i kontrolforanstaltningerne i Annex A i ISO/IEC 27001. En spørgeskema, som anmoder om "fuldstændig politik", opdeler det normalt alligevel i delelementer — check derfor først, om det er tilfældet, før du uploader et komplet dokument.

Risikoen ved at sende et helt politikdokument er ikke juridisk, men praktisk: det indeholder ofte mere, end kunden har brug for — navne på værktøjer, interne procedurer, kontaktoplysninger for personalet. Den, der foretrækker at besvare spørgsmål for spørgsmål i stedet for at dele et dokument, kan bruge fortrolighedsknappen til at begrænse det til det, som reelt bliver spurgt om. Hvis spørgsmålet omhandler et specifikt emne, findes svaret ofte allerede andre steder: eller adgangspolitikken er dokumenteret, eller der foreligger en procedure for hændelser, eller der foretages periodisk kontrol. Det er normalt mere konkret at besvare end med et fuldstændigt dokument.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

Artikel 21, stk. 2 i NIS2 nævner ti konkrete foranstaltninger — risikovurdering, hændelseshåndtering, forretningskontinuitet, styring af sårbarheder, adgangspolitik og mere — uden at stille krav om, at en tredjemand selv skal se det underliggende dokument. ISO/IEC 27001 Annex A arbejder efter samme logik: kontrolforanstaltningerne kan efterprøves pr. område, ikke som ét udelelig politikdokument. Bemærk også, at spørgsmålet om, hvorvidt virksomheden selv falder under NIS2 eller den nationale gennemførelse er adskilt fra det, som en kunde anmoder om i en spørgeskema — disse to forhold bliver ofte forvekslet.