vi har ingen formell säkerhetspolicy får jag ändå svara ja på frågelistan

Nej, inte utan ett dokument som visar policyn

Nej, det går inte att fylla i "ja" här, inte ens om verksamheten i stort är väl organiserad. Frågan om säkerhetspolicy frågar inte om ni arbetar säkert, utan om det är fastställt: ett dokument som visar vem som är ansvarig för vad, vilka åtgärder som gäller och hur ofta det granskas. Utan ett sådant dokument finns ingenting att visa när kunden frågar vidare eller en revisor kräver det. Supplia föreslår inget ja om leverantörsportföljen inte har en källfil — och det gäller här fullt ut, även om själva frågan är lätt igenkännlig för en erfaren invullare.

Det som oftast fungerar: "ja, informell" eller "nej, under utveckling" med en kort förklaring, plus referens till vad som faktiskt är dokumenterat — en åtkomstpolicy, en incidentprocedur, ett leverantörskontrakt med säkerhetskrav. Många kunder värdesätter den ärligheten högre än ett "ja" som inte håller vid verifiering. Om något väl är dokumenterat men det inte finns ett centralt dokument, är det ofta bättre att hänvisa till de enskilda delarna: åtkomstpolicy och hantering av företagstillgångar, proceduren för säkerhetsincidenteroch policyn kring sårbarheter. Tillsammans utgör dessa ofta redan kärnan av vad frågan egentligen betyder, även utan att det heter "säkerhetspolicy".

Där detta följer från de tio åtgärderna

Policy för riskanalys och informationssäkerhet är den första av tio åtgärder i artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) — se även vad en kund menar med riskanalys. Den som omfattas av lag om cybersäkerhet måste kunna påvisa detta så snart lagen träder i kraft. ISO/IEC 27001 kräver i bilaga A likaså dokumenterad policy som en separat kontrollåtgärd, oberoende av om organisationen själv är certifierad.