enkäten frågar om vi har haft en cyberincident under de senaste åren

En incidentfråga handlar om fakta, inte om image

Frågan om du hade en cyberincident under de senaste åren kräver ett faktiskt svar: ja eller nej, och vid ja oftast med en kort förklaring om karaktär, påverkan och åtgärd. Det finns inget rätt eller fel svar — ett "ja" med en ordentlig åtgärd är ofta mer trovärdigt för många kunder än ett omotiverat "nej" från en leverantör som inte kan visa något mer om sin säkerhet. Det som spelar roll: kan du belägga svaret?

Om det fanns en incident är beviset inte själva incidenten utan hanteringen av den: rapporterades det, utreddes det och följdes det upp enligt en fastställd procedur? Det är precis vad förfarandet för hantering av säkerhetstillbud frågar om, och kunder kombinerar ofta denna fråga med de två andra. Om det inte fanns någon incident är "nej" svaret, eventuellt med en hänvisning till de detektionsåtgärder som visar det — se processen för att upptäcka och åtgärda sårbarheter. Utan incidentregister eller -logg är "nej" fortfarande ett giltigt svar, men då utan underliggande bevishandling; det kan du nämna i kommentaren istället för att konstruera ett bevis som inte finns.

, Varför detta ingår i de tio åtgärderna

Incidenthantering ("incident handling") är en av de tio konkreta åtgärder som artikel 21 punkt 2 i NIS2-direktivet (Europaparlamentets och rådets direktiv (EU) 2022/2555) nämner som en del av en enhets säkerhetspolicy. I den svenska genomförningen genom Cybersäkerhetslagar — som träder i kraft den 15 augusti 2026 — återkommer samma krav för enheter som omfattas av den lagen. Därmed är en fråga om tidigare incidenter i praktiken ofta ett indirekt test på frågan om organisationen har en incidentprocess, inte bara om själva incidenten. Den som tillämpar ISO/IEC 27001 känner igen samma tema i Annex A, under kontrollåtgärderna för "information security incident management".