kunden vill veta vem hos oss som är ansvarig för cybersäkerhet

Styrning, inte ett namn

Frågan "vem är ansvarig för informationssäkerhet" frågar i praktiken inte om ett namn eller en befattning, utan om styrningsbevis: finns det ett tilldelat ansvar, och är det säkerställt på styrelsenivå? Artikel 21 stycke 2 i NIS2 nämner detta inte separat, utan som en del av policyn för riskanalys och säkerhet för informationssystem — den första av de tio åtgärderna. Den som får denna fråga kan vanligtvis bäst hänvisa till samma policydokument som också innehåller om företaget har en policy för riskanalys och säkerhet för informationssystem: där är ägaren av policyn vanligtvis angiven tillsammans med omfattningen och det senaste granskningsdatumet.

Om företaget inte har en explicit tilldelad ansvarig, är "ledningen" eller "ägaren" ofta ett tillräckligt svar för mindre företag — men det är en faktisk bedömning, inte något som denna plattform föreslår. Vad systemet kan göra: hämta svaret från försörjningskedjedossären om det redan finns där, tillsammans med källan, så att kunden bekräftar det med ja eller nej. Om denna dokumentation saknas är det mest ehrligt svaret att det ännu inte finns någon formellt tilldelad ansvarig, i stället för att hitta på ett namn som inte finns i dossären. Denna fråga hänger ofta samman med andra: den som rapporterar en incident anges till exempel i förfarandet för hantering av säkerhetstillbud, och det kan vara samma person eller någon annan.

Där detta följer av artikel 21 stycke 2

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 förpliktar enheter till en riskbaserad strategi med tio konkreta åtgärder, varav policy för riskanalys och säkerhet för informationssystem är den första; vem som är ansvarig för det är en del av denna policy, inte en separat uppgift. I ISO/IEC 27001 återkommer detta i Annex A, under kontrollåtgärderna för organisering av informationssäkerhet. Cybersäkerhetslag omvandlar denna förpliktelse till svensk rätt och förväntas träda i kraft den 15 augusti 2026; till dess är NIS2 själv den text som ska användas.