vi har ingen it-afdeling, hvem skal udfylde dette sikkerhedsspørgeskema

Ingen IT-afdeling er ikke en fritagelse

Spørgeskemaet handler ikke om, hvem der står på lønnelisten, men om hvorvidt de ti foranstaltninger i artikel 21, stk. 2 NIS2 er til stede — også ved fem ansatte. En kunde, der sender dette skema ud, ønsker at vide, om risikovurdering, hændelseshåndtering, kontinuitet og adgangskontrol er ordnet, ikke om der eksisterer en afdeling med det navn til dette formål. I en lille virksomhed ligger svaret ofte hos ejeren eller en ekstern IT-leverandør, og det er et gyldigt svar: hvem der udfører det indgår ikke i spørgeskemaet, kun hvorvidt det udføres.

Praktisk betyder det, at den person, der administrerer hosting, bærbare computere eller bogholderisoftware — ofte et eksternt bureau — har de faktiske svar på spørgsmål om sikkerhedskopier og nødforanstaltninger og om multifaktor-godkendelse. Denne leverandør skal ikke udfylde spørgeskemaet, men leverer dokumentationen eller bekræftelsen, som virksomhedsejeren selv bruger til at svare. For spørgsmål, der handler om politik snarere end teknik — hvem der må hvor hen, hvad der sker ved en hændelse — ligger kendskabet sædvanligvis hos ejeren selv, også uden IT-baggrund.

Artikel 21, stk. 2 kræver foranstaltninger, ikke en funktionsbetegnelse

Artikel 21, stk. 2 i NIS2-direktivet nævner de ti foranstaltninger som en resultatforpligtelse for enheden, uden at stille krav til organisationsstrukturen, som resultatet opnås gennem. Bilag A i ISO/IEC 27001 udarbejder de samme foranstaltninger i kontrolforanstaltninger, som lige så godt kan udføres af en ekstern part som af internt personale. Om virksomheden selv er omfattet af direktivet er en separat spørgsmål, uafhængig af hvem der udfylder spørgeskemaet — det kan henledes til egen NIS2-status.