hvem er ansvarlig for at udfylde sikkerhedsspørgeskemaet

Rollefordeling er ikke selv et normkrav, men svaret skal verificeres

Spørgeskemaet foreskriver ikke selv, hvem der skal udfylde det; artikel 21 stk. 2 NIS2 og Bilag A i ISO/IEC 27001 handler om de foranstaltninger, som en organisation træffer, ikke om den embedsmand, der underskriver formularen. I praksis er det normalt den person, der kender informationssikkerhedspolitikken: en security officer, IT-manager eller, i mindre virksomheder, direktøren selv. Hvor der foreligger et ISO 27001-certifikat, er der ofte allerede udpeget en ansvarlig i ledelsessystemet — det navn er så det naturlige kontaktpunkt for denne liste.

Det, der helt sikkert gælder: svarene skal være baseret noget. Hvis et spørgsmål handler om adgangskontrol, skal der være mulighed for at pege på, hvilken politik eller hvilken foranstaltning, der ligger bag — ikke udfyldt fra hukommelsen, men aflæst fra en fil. Det gør det mere til et spørgsmål om "hvem har det underliggende materiale ved hånden" end "hvem må udfylde dette". Den samme person er ofte også den, der kan vurdere, om virksomheden anvender AI-systemer inden for sin serviceydelseda det vedrører den samme tekniske kartlægning. Hvis der er tvivl om, hvem der internt er ansvarlig for et svar, er det ofte den samme person, der også administrerer beredskabsplanen ved alvorlig forstyrrelse — de to emner overlapper med hensyn til kildestof.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

Artikel 21 stk. 2 NIS2 nævner ti kategorier af foranstaltninger, herunder risikostyring, hændelseshåndtering og adgangspolitik — direktivet regulerer indholdet af disse foranstaltninger, ikke hvem der rapporterer dem internt. ISO/IEC 27001 Bilag A uddyber dette i konkrete kontrolforanstaltninger, og organisationer, der er certificeret, har normalt allerede udpeget en ansvarlig i deres ledelsessystem. Den eksisterende rollefordeling er den mest oplagte kilde at falde tilbage på ved udfyldelse af et sikkerhedsspørgeskema.