jag förstår inte en teknisk fråga från enkäten, vem kan besvara denna

Hänför frågan till ett av de tio åtgärderna

En teknisk fråga från en enkät är nästan alltid en omformulering av en av de tio åtgärderna i artikel 21 punkt 2 i NIS2, eller av en kontrollåtgärd från bilaga A i ISO/IEC 27001. Kundens portal använder ofta en egen formulering — "hur är er nätverkssegmentering utformad" eller "vilken krypteringsstandard använder ni för data at rest" — men den underliggande frågan är känd. Det lönar sig att först fastställa under vilken kategori frågan faller: gäller det åtkomst, kryptering, säkerhetsproblem eller kedjan. Så snart denna kategori är fastställd kan frågan vanligtvis besvaras med befintlig dokumentation, även om den exakta termen är ny.

Vid osäkerhet om den exakta tekniska utformningen — vilket protokoll, vilken nyckellängd, vilken skannningsfrekvens — är IT-avdelningen eller den externa administratören rätt part, inte den kommersiella eller juridiska kontaktperson som mottar listan. Den som regelbundet stöter på samma tekniska frågor om kryptering kan dokumentera detta som ett fast svar för ämnet eller om det finns policy för kryptografi och kryptering, så att denna fråga inte behöver utreddas på nytt varje gång. Detsamma gäller för frågor om flerfaktorsautentisering eller åtkomstkontroll: dessa är separata frågor i listan, men innehållsmässigt samma ämne formulerat på nytt varje gång.

Var de tio åtgärderna kommer ifrån

Artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner tio kategorier åtgärder, från riskanalys till kryptering till mänskligt beteende inom organisationen. Bilaga A i ISO/IEC 27001 utvecklar motsvarande ämnen vidare i konkreta kontrollåtgärder, vilket förklarar varför en granskningsfråga och en kundfråga ofta innebär detsamma, även om formuleringarna skiljer sig åt. Cybersäkerhetsakten genomför artikel 21 i svensk rätt och förväntas träda i kraft den 15 augusti 2026; fram till dess är direktivet själv utgångspunkten för den som vill klargöra under vilken åtgärd en fråga faller.