spørgeskemaet spørger efter kontaktperson for sikkerhed, hvem skal det være hos os

Kontaktpersonen er en rolle, ikke et navn på spørgeskemaet

Angiv den person, der er internt ansvarlig for sikkerhedsforanstaltninger, ikke nødvendigvis ejeren eller direktøren. I praksis er det den person, der også er involveret i processen for identificering og udbedring af sårbarheder og på proceduren for håndtering af sikkerhedshændelser — ofte således den samme person, der internt er kontaktpunktet, hvis noget går galt. I en lille virksomhed er det ofte iværksætteren selv eller it-administratoren; i en større virksomhed en security officer eller en person med en tilsvarende funktionstitel. Vigtigere end titlen er, at denne person er tilgængelig og ved, hvad der foregår, da kunden bruger denne kontakt især ved en incident eller revision.

Angiv hellere en rolle- eller funktionsmailboks end et privat navn, hvis det er muligt: det forhindrer, at spørgeskemaet bliver forældet, så snart en person skifter stilling. En adresse som "security@" eller "ciso@" fungerer for kunden lige så godt som et navn og er mere stabilt. Hvis virksomheden endnu ikke har en separat funktion til dette, er det normalt at angive den generelt ansvarlige for it eller driftsledelse — så længe denne person også virkelig kan kontaktes om indholdet, ikke kun på navn.

Hvor dette kommer fra: artikel 21 og rollen for governance

Artikel 21, stk. 2 i NIS2-direktivet nævner ingen kontaktperson som et særskilt krav, men de ti foranstaltninger, der er anført der — herunder risikostyring, incidenthåndtering og forretningskontinuitet — forudsætter, at nogen bærer dem internt og kan kontaktes herom. Kunder, der spørger herom, tester således reelt, om der findes politik for risikoanalyse og beskyttelse af informationssystemer og om denne politik har en ejer. ISO/IEC 27001 præciserer dette nærmere: Annex A indeholder foranstaltninger vedrørende roller og ansvar inden for informationssikkerhed, og en udpeget kontaktperson er ofte det synlige bevis herpå. Den nederlandske Cybersikkerhedsloven, som implementerer NIS2-direktivet og træder i kraft den 15. august 2026, tilføjer på dette punkt intet særskilt krav ud over det, der allerede er i direktivet.