hvordan udfylder jeg, at medarbejdere kan rapportere en sikkerhedshændelse

Intern rapporteringsrute er beviset, ikke en intention

Dette spørgsmål handler om selve rapporteringskanalen: kan medarbejdere rapportere en hændelse internt, og sker det også faktisk. Det er noget helt tredje end spørgsmålet om, hvorvidt organisationen registrerer eller håndterer hændelser — det hører til proceduren for håndtering af sikkerhedshændelser. Her ønsker kunden specifikt at vide, om der findes en let tilgængelig, kendt vej, hvorigennem en medarbejder kan løfte noget op: en mailadresse, et ticketsystem, et navn på intranettet. Beviset er således ikke proceduren som helhed, men den konkrete kanal plus noget, der viser, at medarbejdere kender denne kanal — et skærmbillede fra intranettet, et afsnit fra onboarding-dokumentet eller et træningsslide.

Hvis du ikke har fastlagt det separat, er "nej" eller "delvist" det ærlige svar, også selv hvis der findes en incidentprocedure, som kun bruges af it-teamet. Indfyld ikke "ja" på grundlag af proceduren alene; spørgsmålet tester bevidsthed og tilgængelighed, ikke blot proces. Hvis der findes bevidsthedstræning, der behandler rapporteringskanalen, er det ofte det stærkeste bevis — kontroller det mod træningen i grundlæggende cybersikkerhedshygiejne, for disse to svar skal være indbyrdes konsistente. Hvis de ikke stemmer overens, opdages det hurtigere i en revisionsstikprøve end en enkelt manglende dokumentation.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Dette krav kommer fra artikel 21, stk. 2 i NIS2-direktivet, hvor hændelseshåndtering er en af de ti obligatoriske foranstaltninger; cybersikkerhedsloven gennemfører dette i dansk ret fra 15. august 2026. ISO/IEC 27001 udfolder dette i Bilag A ned til niveauet for rapporteringskanaler og bevidsthed, og kunder, der bruger et ISO-spørgeskema, spørger ofte ordret til dette kontrolpunkt i Bilag A. Hvis organisationen selv er certificeret, ligger dette bevis normalt allerede klar — se virksomhedens ISO 27001-certificat for hvordan det kan dokumenteres.