fragelista frågar om vi screnar anställda före anställning

Personalscreening hör till hrm-säkerhet, inte åtkomststyrning

Frågan om granskning vid anställning faller under personalsäkerhet, en av de tio åtgärderna i artikel 21 stycke 2 NIS2 — uttryckligen nämnd under punkt (g), tillsammans med arbetsvillkor och disciplinära åtgärder vid överträdelser. Det är en annan ruta än åtkomststyrning: granskning handlar om vem du anställer, åtkomstpolicy handlar om vad någon får se eller göra när han väl är inne. Fyll därför inte i automatiskt "ja" på den här frågan bara för att det redan finns en åtkomstmatris — det är ett annat bevisstycke.

Vad som räknas som bevis beror på vad som faktiskt händer i praktiken. En VOG-förpliktelse (förklaring angående uppförande) för funktioner med åtkomst till känsliga system är det mest konkreta beviset. Om det fattas är även en fast procedur i anställningsprocessen acceptabel: referenskontroll, identitetsverifiering, och hos ISO 27001-certifierade företag screening-klausulen i Annex A 6.1 (före anställningsförhållandet). Utan ISO-certifikat och utan VOG-policy är svaret vanligtvis "nej" eller "delvis" — och det är helt okej att fylla i så. Hitta inte på en screeningprocess som inte finns; om klienten gräver djupare, är ett ärligt "nej, men för funktionerna X och Y" starkare än ett ja som inte håller vid en revision.

Varifrån detta kommer: artikel 21 stycke 2 punkt g och Annex A 6.1

De tio åtgärderna i artikel 21 stycke 2 NIS2 nämner personalsäkerhet uttryckligen under (g), tillsammans med åtkomststyrning och hantering av företagstillgångar. I praktiken testas detta ofta tillsammans med träning i cyberhygien, eftersom båda hör till samma hrm-policy. För företag med ISO 27001-certifikat finns motsvarande kontrollåtgärd i Annex A, under klausulen om screening före anställningen — fråga därför om ISO 27001-certifikatet för företaget täcker denna klausul, för inte varje certifikat är lika brett omfattat. För företag som själva först från och med 15 augusti 2026 faller under cybersäkerhetslagens tillämpningsområde är detta ännu ingen laglig skyldighet, men klienter frågar ofta redan nu i förväntning på kedjeöverföringsförpliktelserna.