Har virksomheden politik for risikovurdering og sikring af informationssystemer?

Risikovurderingspolitik er grundlaget for de øvrige ni foranstaltninger

Ja, i de fleste tilfælde er der noget at sige her, fordi risikovurdering er nævnt som første foranstaltning i artikel 21, stk. 2 i NIS2-direktivet og er således grundlaget for resten af politikken. Spørgsmålet tester ikke kun, om der findes et dokument "risikopolitik", men om virksomheden systematisk vurderer, hvilke informationssystemer og processer der er sårbare, og hvilke foranstaltninger der skal tages i forhold hertil. En kunde, der stiller dette spørgsmål, ønsker således i virkeligheden at vide, om sikkerhed er indrettet på grundlag af en risikovurdering, eller om det sker ad hoc.

I praksis er dette felt ofte vanskeligt at besvare med et simpelt ja, fordi risikovurdering normalt ikke er et selvstændigt politikdokument, men er integreret i andre dele: er tilgangspolitikken fastlagt, herunder styring af virksomhedens ressourcer, er der en proces for at identificere og afhjælpe sårbarheder, og bliver effektiviteten af sikkerhedsforanstaltningerne kontrolleret med jævne mellemrum. Uden et bagvedliggende dokument, der beskriver risikovurderingen — selvom det er et simpelt internt overblik — kan et "ja" her ikke understøttes. Hvis dette dokument mangler, er "nej" eller "delvist" det ærlige svar, eventuelt med en forklaring på, hvilke dele der allerede er på plads.

Hvor dette præcis følger af artikel 21, stk. 2

Artikel 21, stk. 2, litra a) i Direktiv (EU) 2022/2555 nævner "politik for risikovurdering og sikkerhed af informationssystemer" som første af ti obligatoriske foranstaltninger og er således den mest direkte kildehenvisning for dette spørgsmål. Direktivet selv præciserer ikke, hvordan en risikovurdering skal etableres — denne detalje overlades til nationale gennemførelsesregler eller normer som ISO 27001, som er noget helt tredje end dette politikspørgsmål: se er virksomheden ISO 27001-certificeret. Den, der ønsker at kontrollere, om virksomheden selv er omfattet af direktivet, finder det under er virksomheden omfattet af NIS2-direktivet eller dets nationale gennemførelse.