skal vi rapportere en sikkerhedshændelse fra sidste år til vores kunde

En gammel hændelse hører til i spørgeskemaet, ikke i en separat rapporteringskanal

Ja, en sikkerhedshændelse fra sidste år udfylder du, hvis spørgsmålet handler om hændelser eller håndteringen af dem — også hvis hændelsen selv allerede er lukket. Spørgsmålet i de fleste kundespørgeskemaer handler ikke om en aktuel trussel, men om der findes en procedure, og om den fungerer. En behandlet hændelse fra sidste år er snarere bevis herfor end en risiko: det viser at proceduren for håndtering af sikkerhedshændelser i praksis er gennemgået, fra signalering til lukning.

Dette er således noget helt tredje end en lovpligtig indberetningspligt til en tilsynsmyndighed — den har sine egne frister og sine egne modtagere, og disse frister er længe overskredet, hvis hændelsen er fra sidste år. Dit kundes spørgeskema er ikke et indberetningspunkt; det er et ansvarsredegørelsespørgsmål. Besvar det på baggrund af, hvad der nu foreligger dokumenteret: findes der en procedure, blev den anvendt, er der gennemført forbedringer som følge af hændelsen? Hvis sidstnævnte mangler, er "nej" eller "delvist" et lige så gyldigt svar som "ja" — blot det stemmer overens med det, der står i kædeomslaget.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21 stk. 2 i NIS2-direktivet nævner hændelseshåndtering som en af ti obligatoriske foranstaltninger, blandt andet sammen med risikovurdering og beskyttelse af informationssystemer og kontinuitetspolitik. ISO/IEC 27001 konkretiserer dette i Annex A i kontrolforanstaltninger, der kræver registrering, respons og evaluering af hændelser — en lukket sag fra sidste år passer præcist ind som eksempelmateriale. Cybersikkerhedsloven, den danske gennemførelse af NIS2, træder i kraft den 15. august 2026 og regulerer den lovpligtige indberetningspligt til myndighederne; det er et separat forløb fra den ansvarsredegørelse, som en kunde spørger om i sit eget spørgeskema.