frågelistan frågar om ledningen är involverad i cybersäkerhet

Ledningsinvolveringen är en separat NIS2-förpliktelse, skild från de tio åtgärderna

Denna fråga handlar inte om teknik utan om styrning: är ledningen själv engagerad i cybersäkerhet, eller är det helt delegerat till IT. Under artikel 21 stycke 2 i NIS2 finns de tio åtgärderna själva, men artikel 20 i direktivet förpliktar dessutom att styrningsorganen godkänner riskhanteringsåtgärderna och övervakar genomförandet, och att styrelseledamöter får utbildning för att kunna bedöma cyberrisker. Detta är alltså en separat punkt på frågeformuläret: inte "vilka åtgärder har ni", utan "känner till och godkänner ledningen detta".

Som bevisning räknas vanligtvis ett utdrag från protokoll där ledningen har antagit eller utvärderat säkerhetspolicyn, ett organisationsschema som visar rapporteringslinjer till ledningen, eller en dagordningspunkt från ett periodiskt ledningssammanträde om cyberrisker. Om detta saknas är "nej" här det ärliga svaret — en leverantör som fyller i detta utan underlag löper risken att kunden senare kommer tillbaka på det. Denna fråga är ofta kopplad till frågan testas säkerhetsmåtten effektivitet periodisktför testning utan ledningsbeslut är för en kund ett halvt svar. Också relevant är om er organisation själv faller under NIS2-direktivetför då är detta inte bara en fråga från er kund utan en egen juridisk skyldighet från den 15 augusti 2026, när Cyberlagstiftningen träder i kraft.

Där detta kommer från: artikel 20 bredvid artikel 21 NIS2

Artikel 20 i Direktiv (EU) 2022/2555 reglerar styrningsorganens ansvar och engagemang, skilt från de tio innehållsmässiga åtgärderna i artikel 21 stycke 2; ISO/IEC 27001 har ingen bokstavlig motsvarighet i Bilaga A men kräver genom normens kärnkrav (punkt 5, ledarskap) väl påvisbar engagemang från ledningen, vilket ofta lämnas som separat bevis vid sidan av Bilaga A-åtgärderna.