spørgeskemaet spørger, om vi screener medarbejdere før ansættelse

Personalescreening hører under personalebeskyttelse, ikke under adgangskontrol

Spørgsmålet om screening ved ansættelse falder under personalebeskyttelse, som er en af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet — navnlig nævnt under punkt (g), sammen med ansættelsesvilkår og disciplinære foranstaltninger ved overtrædelser. Det er et andet felt end adgangskontrol: screening handler om, hvem du ansætter, adgangspolitik handler om, hvad en person må se eller gøre, når først han/hun er kommet ind. Udfyld derfor ikke automatisk "ja" på dette spørgsmål, fordi der allerede ligger en adgangsmatrix — det er et andet bevisstykke.

Hvad der tæller som bevis, afhænger af, hvad der sker i praksis. En VOG-forpligtelse (erklæring om adfærd) for stillinger med adgang til følsomme systemer er det mest konkrete bevis. Hvis dette mangler, tæller også en fast procedure i ansættelsesprocessen: referencekontrol, identitetsbekræftelse, og for ISO 27001-certificerede virksomheder screeningklausulen i Annex A 6.1 (før ansættelsesforholdet). Uden ISO-certificering og uden VOG-politik er svaret som regel "nej" eller "delvis" — og det er fint at udfylde således. Opfind ikke en screeningproces, som ikke findes; hvis kunden stiller opfølgende spørgsmål til dette, er et ærligt "nej, men for stillinger X og Y" stærkere end et ja, der ikke holder ved en revision.

Hvor dette kommer fra: artikel 21, stk. 2, punkt g og Annex A 6.1

De ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet nævner personalebeskyttelse eksplicit under (g), sammen med adgangskontrol og administration af virksomhedens aktiver. I praksis bliver dette ofte testet sammen med træning i cyberhygiejne, fordi begge falder under samme personalepolitik. For virksomheder med et ISO 27001-certificat findes den tilhørende kontrolforanstaltning i Annex A under klausulen om screening før ansættelse — spørg derfor efter, om virksomhedens ISO 27001-certificat dækker denne klausul, for ikke alle certificater har samme omfang. For virksomheder, der først efter 15. august 2026 falder under cybersikkerhedsloven, er dette endnu ikke en lovpligtig forpligtelse, men kunder spørger ofte allerede nu i forventning om kædeforpligtelserne.