de spørger, hvem der har adgang til deres data

Adgangspolitik, ikke en navneliste

Kunden ønsker typisk ikke at vide, hvilken enkeltperson der logger ind, men om der er et system, der regulerer, hvem der har adgang til hvad. Det falder under adgangskontrol: hvem har adgang til hvilke systemer og data, baseret på hvilken rolle, og hvordan tildeles og tilbagekaldes denne adgang. Svaret består således af to dele: politikken (hvordan gives adgang, gennemgås og tilbagekaldes ved fratræden) og praksis (arbejdes der med rollebaserede rettigheder, least privilege, periodisk kontrol af hvem der stadig har adgang).

Hvis der ikke er et separat adgangspolitik-dokument, men praksis er i orden — for eksempel roller i et system, en fastlagt proces ved ansættelse og fratræden — er det ofte tilstrækkeligt til at besvare med "ja", forudsat at det også virkelig er dokumenteret. Hvis begge mangler, er "nej" det ærlige svar; en spørgsmål herom foreslås ikke som "ja" uden at der er en kilde i kedearkivet. Relaterede spørgsmål på samme liste handler ofte om multifaktorautentificering for virksomhedssystemer og om politikken for risikovurdering og sikkerhed af informationssystemer — disse to hører indholdsmæssigt sammen, da adgang typisk er en af de kontrolforanstaltninger, der følger af risikovurderingen.

Kan føres tilbage til artikel 21, stk. 2 og Bilag A

Adgangskontrol er en af ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555): det nævner eksplicit politik for adgangskontrol og forvaltning af virksomhedsaktiver som en obligatorisk del af risikostyringen. I ISO/IEC 27001 genfindes dette i kontrolforanstaltningerne i Annex A under kategorien access control. Kunder, der selv bliver omfattet af Cybersikkerhedsloven — den danske omfatning af NIS2, der træder i kraft den 15. august 2026 — stiller derfor stadig oftere dette spørgsmål standardmæssigt til deres leverandører, selv hvis de selv endnu ikke er udpeget som en enhed under direktivet.