hur fyller jag i att anställda kan rapportera en säkerhetshändelse

Intern rapporteringsväg är beviset, inte en avsikt

Den här frågan handlar om själva rapporteringskanalen: kan anställda rapportera en incident internt, och sker det faktiskt. Det är något annat än frågan om organisationen registrerar eller hanterar incidenter — det hör till förfarandet för hantering av säkerhetstillbud. Här vill kunden specifikt veta om det finns en lågtröskel, känd väg där en anställd kan ta upp något: en e-postadress, ett ticketsystem, ett namn på intranätet. Beviset är alltså inte proceduren som helhet, utan den konkreta kanalen plus något som visar att anställda känner till kanalen — en skärmbild från intranätet, ett stycke från onboarding-dokumentet, eller en utbildningsslide.

Om du inte har dokumenterat det separat är "nej" eller "delvis" det ärliga svaret, även om det finns en incidentprocedur som bara används av IT-teamet. Fyll inte i "ja" baserat på proceduren ensamt; frågan prövar medvetenhet och tillgänglighet, inte enbart process. Om det finns utbildning om medvetenhet som behandlar rapporteringskanalen är det ofta det starkaste beviset — kontrollera det mot utbildning i grundläggande cyberhygienmetoderför dessa två svar måste vara konsistenta sinsemellan. Om det inte stämmer överens är det något som upptäcks snabbare i en revisionsöversikt än ett enda saknat bevis.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Det här kravet kommer från artikel 21 stycke 2 i NIS2-direktivet, där incidenthantering är ett av tio obligatoriska åtgärder; cyberlagstiftningen implementerar detta i svensk rätt från 15 augusti 2026. ISO/IEC 27001 arbetar ut detta i Annex A ned till nivån för rapporteringskanaler och medvetenhet, och kunder som arbetar med en ISO-frågeformulär frågar ofta bokstavligt efter den Annex A-kontrollpunkten. Om organisationen själv är certifierad ligger beviset vanligtvis redan klart — se ISO 27001-certifikatet för hur det kan göras påvisbart.