skal jeg sende vores responsplan som dokument til kunden

Sædvanligvis ikke hele dokumentet, men kernedataene

Nej, i de fleste tilfælde behøver hele incidentresponsplanen ikke at være vedlagt. Portaler, der spørger om incidentrespons — del af proceduren for håndtering af sikkerhedshændelser — ønsker sædvanligvis at vide eller om der er en procedure, hvem der er ansvarlig, og inden for hvilken tid et incident eskaleres og rapporteres. Det er spørgsmål, du besvarer med et ja/nej og en kort forklaring, ikke med hele handlingsbogen inklusive kontaktnetværk og systemnavn.

Der er to situationer, hvor bilag faktisk anmodes: hvis kunden har "upload dit incidentresponsplan" som eksplicit spørgsmålstype, eller hvis det er en auditkontrolliste, der kræver dokumentation. I så fald er en sammenfattet version — en side med omfang, roller, rapporteringstidsfrister og eskaleringsveie uden følsomme tekniske detaljer — ofte tilstrækkelig. Om der skal et fuldstændigt plan eller et resumé, fremgår af selve spørgsmålsteksten; hvis der står "beskriv" i stedet for "upload", er et tekstsvar mere passende end et bilag.

Hvorfor denne skelnen findes: artikel 21 stk. 2 NIS2

Artikel 21 stk. 2 i NIS2-direktivet nævner incidenthåndtering som én af de ti obligatoriske foranstaltninger, men foreskriver ingen dokumentform — direktivet kræver en proces, ikke et specifikt uploadformat. ISO/IEC 27001 Bilag A udfoldesdt dette til kontrolforanstaltninger omkring respons og genoprettelse, og der ser du det samme mønster: standarden vurderer, om processen eksisterer og fungerer, ikke om der er ét veldefineret dokument kaldet "incidentresponsplan". Det forklarer, hvorfor de fleste portaler er tilfredse med en beskrivelse i svarfeltet, og hvorfor et bilag kun er nødvendigt, hvis spørgsmålet eksplicit kræver det. Hvis du endnu ikke har dokumenteret processen, er det ofte nemmere at først politikken for risikovurdering og informationssikkerhed få orden på — incidentrespons bygger sædvanligvis videre heraf.