spørgeskemaet spørger, om vi har udarbejdet en incident response-plan

Plan for håndtering af hændelser er en af de ti foranstaltninger fra artikel 21

Ja, dette er en genkendelig del: artikel 21, stk. 2, litra b i NIS2-direktivet nævner "incident handling" som en af ti obligatoriske foranstaltninger. Kunden spørger her ikke efter en vag beredskab til at gøre noget ved et hack på et tidspunkt, men efter en fastlagt procedure: hvem melder en hændelse, hvem vurderer virkningen, hvem beslutter om eskalering og kommunikation, og inden for hvilket tidsrum. Hvis denne procedure eksisterer og er dokumenteret skriftligt, er dette et bekræftende svar med dokumentet som bevis. Eksisterer den ikke, eller lever den kun i folks hoveder, så er "nej" det ærlige svar — et halvhjertet "ja" uden underliggende dokument forårsager ved revision mere skade end et nej med en forklaring på, at det er under udvikling.

Vær opmærksom på forskellen mellem spørgsmål om påvisning og opdagelse: en plan for håndtering af hændelser handler om, hvad der sker efter, at noget er konstateret, ikke om, hvordan sårbarheder findes — sidstnævnte hører til processen for identificering og udbedring af sårbarheder. Nogle spørgeskemaer stiller dette som et separat spørgsmål, andre kombinerer det med kontinuitet ("hvordan genopretter I tjenesten"), hvilket er et helt andet emne og besvares via spørgsmålet om sikkerhedskopier og nødplan. Det er derfor vigtigt at opbevare plan for håndtering af hændelser og kontinuitet som separat bevisstykke i kædeomslaget, selvom de i praksis kan stå i ét dokument.

Hvor det står i direktivet og normen

Artikel 21, stk. 2, litra b i Direktiv (EU) 2022/2555 nævner "incident handling" bogstaveligt som obligatorisk foranstaltning ved siden af de ni andre fra det pågældende stykke. I ISO/IEC 27001 genfindes dette under Annex A, blandt kontrolforanstaltningerne vedrørende ledelse af informationssikkerhedshændelser — hvem der allerede er certificeret i henhold til ISO 27001 har dette bevisstykke formodentlig allerede liggende. Cybersikkerhedsloven omsat artikel 21 til danske regler, men træder først i kraft den 15. august 2026; indtil da er selve direktivet det rammeværk, som skal anføres for at vurdere, om dette allerede er i orden.