min kunde anmoder om dokumentation til spørgeskemaet, hvad skal jeg levere

Dokumentation hører til svaret, ikke til spørgsmålet som helhed

Der er ingen fast liste over "dokumentation for cybersvar" — dokumentationen afhænger af hvilken af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, som kunden efterspørger. Spørger han om adgangskontrol, er et uddrag fra adgangskontrolpolitikken relevant, ikke hele informationssikkerhedspolitikken. Spørger han om hændelseshåndtering, er ofte en procesbeskrivelse med eskaleringslinjer tilstrækkelig, ikke en hændelseslog med detaljer. Når du inddeler, skal du tænke på de kategorier, der også findes i politikken for risikovurdering, proceduren ved sikkerhedshændelser og kravene til egne leverandører igen: hver enkelt spørger om en anden type dokumentation.

Hvis du ikke har dokumentationen — for eksempel fordi politikken findes, men aldrig er blevet nedskrevet — er "nej" med en kort forklaring det ærlige svar, ikke en henvisning til et dokument, der ikke findes. Et ISO 27001-certifikat dækker flere spørgsmål på én gang, men kun hvis omfanget af certificatet også virkelig berører de områder, som kunden spørger om; ellers skabes der falsk sikkerhed, som kommer frem under en revision. Kontroller derfor først, om certificatet er relevant for det spurgte område, før du anführer det som dokumentation.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

Artikel 21, stk. 2 i NIS2-direktivet nævner de ti foranstaltninger, som en kunde normalt spørger nærmere om — fra risikostyring til adgangskontrol til leverandørsikkerhed — og hver foranstaltning har sin egen type dokumentation, ikke ét overordnet dokument. ISO/IEC 27001 Annex A indeholder de kontrolforanstaltninger, der ofte bruges som en tjekliste til at afgøre, hvilken dokumentation der hører til hvilket spørgsmål; et certifikat mod denne standard er derfor ikke en erstatning for de underliggende dokumenter, men en bekræftelse på, at de er blevet vurderet. Cybersikkerhedsloven, den danske omzettelse af NIS2, træder i kraft den 15. august 2026 og indeholder samme inddeling — for dem, der allerede nu indsamler dokumentation, er det derfor ikke spildt arbejde at følge denne struktur.