hvem er ansvarlig for at udfylde kundespørgeskemaer om sikkerhed

Ansvar ligger hos rollen, ikke hos afdelingen

Der er ingen lovgivningsmæssig vejledning om, hvem i virksomheden der skal udfylde sikkerhedsspørgeskemaet — det er intern politik, ikke en forpligtelse fra en forordning. I praksis ligger det hos den, der kan underbygge svaret: ofte IT-manageren eller sikkerhedschefen for de tekniske foranstaltninger, og HR eller ledelsen for politik og bevidsthed. Ved en ISO 27001-certificering er dette sædvanligvis allerede fastlagt i rollefordelingen omkring informationssikkerhedsledelsessystemet, og så er spørgeskemaet et spørgsmål om at rådføre sig med det system, ikke om at finde ud af det igen.

Hvor det ofte går galt, er ikke spørgsmålet om hvem der udfylder, men spørgsmålet om hvem der må bekræfte. Et teknisk svar kan være korrekt, men hvis den person, der indtaster det, ikke har indsigt i, hvad der må deles med en ekstern part, kommer oplysninger ud, der ikke skal derhen. Det er en grund til at se på udfyldning og frigivelse som to adskilte trin: det første er faktisk, det andet er en vurdering af fortrolighed. Den samme deling gælder for eksempel i spørgsmålet om virksomheden har en kontinuitetsplan — også der er svaret ofte kendt, men ikke altid beregnet til at blive delt i detaljer.

Hvad spørgeskemaet fagligt undersøger

De ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) giver et godt billede af de kategorier, der dukker op i kundespørgeskemaer: risikovurdering, hændelseshåndtering, forretningskontinuitet, leverandørsikkerhed, adgangspolitik og lignende. Den, der anvender ISO/IEC 27001, genkender de samme emner i kontrolforanstaltningerne i Bilag A — det gør standarden til en praktisk intern referenceværk, også selv om selve certifikatet ikke vises til kunden. For spørgsmålet eller virksomheden er ISO 9001-certificeret gælder samme logik: det handler om en separat norm, men spørgsmålet om hvem der kender og styrer svaret, ligger organisatorisk ofte hos samme person.