enkäten frågar om vi har en krishanteringsplan för en cyberincident

Krishanteringsplan faller under affärskontinuitet, inte under incidentrespons

Frågan om en "krishanteringsplan vid en hackning" handlar i praktiken om två saker samtidigt, och svaret beror på vilken av de två du har. Det första är en kontinuitetsplan: hur fortsätter tjänstleveransen att fungera eller hur återställer du den, oavsett vad som exakt har hänt. Det andra är en incidentresponsplan: vem gör vad så fort en hackning upptäcks, vem ska informeras, hur begränsas incidenten. Många företagare har det andra men inte det första, eller tvärtom, och fyller då i "ja" på en fråga som egentligen kräver båda delarna.

Har du endast en informell plan — några avtal som alla känner till men som inte finns dokumenterade någonstans — då är "nej" oftast det mest ärliga svaret, med en förklaring att tillvagagångssättet finns men inte är fastslaget. Har du en kontinuitetsplan utan separat cyberkomponent, kontrollera då om den uttryckligen nämner en cyberincident som scenario; gör den det inte, då är det en lucka som kunden ofta flaggar. Detta ämne är nära kopplat till finns det säkerhetskopior och nödåtgärder för att återställa tjänstleveransen och till finns det ett förfarande för hantering av säkerhetshändelser — besvara dessa två först, då löser denna fråga sig ofta av sig själv.

Där detta återkommer i artikel 21 stycke 2 NIS2

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 nämner "business continuity, such as backup management and disaster recovery, and crisis management" som en av de tio obligatoriska åtgärderna — kontinuitet och krishantering står alltså tillsammans där, inte som två separata krav. Bilaga A i ISO/IEC 27001 har en liknande kontrollåtgärd för IT-beredskap vid avbrott i verksamheten. Den nederländska cybersäkerhetslagan, som omvandlar denna skyldighet, träder i kraft den 15 augusti 2026.