spørgeskemaet spørger, hvem inden for vores virksomhed der er ansvarlig for cybersikkerhed

Governance og ansvar, ikke bare et navn

Spørgsmålet går videre end blot at udfylde en kontaktperson. Artikel 21, stk. 2 i NIS2-direktivet nævner "politik for risikovurdering og sikkerhed af informationssystemer" som et af ti obligatoriske foranstaltninger, og governance — hvem der træffer beslutninger, hvem der godkender, hvem der bærer ansvaret — er en del heraf. I ISO/IEC 27001 gentages dette i Bilag A under kontrolforanstaltningerne for organisering af informationssikkerhed: der forventes, at roller og ansvar er tildelt og dokumenteret, ikke blot mundtligt aftalt. At nævne et navn uden dokumenteret rolle er således som regel en ufuldstændig udfyldelse.

Det præcise, som kunden ønsker at se, varierer afhængigt af format: nogle gange er det en funktionsbetegnelse (CISO, IT-manager, direktør), nogle gange en tabel af RACI-type, nogle gange blot spørgsmålet om, hvorvidt der overhovedet er udpeget en ansvarlig person. Hvis virksomheden ikke har en formelt udpeget ansvarlig, men opgaven faktisk ligger hos nogen, er det ofte tilstrækkeligt til et "ja" — forudsat at det er dokumenteret et sted, for eksempel i en jobbeskrivelse eller mødereferater. Uden nogen som helst dokumentation er "nej" det ærlige svar; ketendossier'et kan ikke løse det ved at opfinde en påstand. Dette spørgsmål hænger ofte sammen med politik for risikoanalyse og sikkerhed af informationssystemerfordi en kunde, der spørger om governance, normalt også ønsker at vide, hvem der har fastlagt denne politik.

Hvor dette optræder i direktivet og normen

Henvisningen til governance og ansvar findes i artikel 21, stk. 2, litra a) i NIS2-direktivet (politik for risikovurdering og informationssikkerhed) og i Bilag A i ISO/IEC 27001, under de organisatoriske kontrolforanstaltninger. I Holland gentages samme forpligtelse gennem Cyberbeveiligingswet, der træder i kraft den 15. august 2026 som implementering af NIS2. Tilsynsmyndigheder og kunder, der stiller dette spørgsmål, kontrollerer implicit også, om der ligger en proces bag — derfor løber dette spørgsmål i praksis ofte sammen med spørgsmålet om, hvorvidt effektiviteten af foranstaltninger kontrolleres med regelmæssige intervallerfordi en ansvarlig uden et kontrol-øjeblik er på papiret ikke meget værd.