enkäten frågar vem inom vårt företag som är ansvarig för cybersäkerhet

Styrning och ansvar, inte bara ett namn

Frågan går längre än att fylla i en kontaktperson. Artikel 21 stycke 2 i NIS2-direktivet nämner "policy för riskanalys och säkerhet för informationssystem" som ett av tio obligatoriska åtgärder, och styrning — vem beslutar, vem godkänner, vem ansvarar — är en del av detta. I ISO/IEC 27001 återkommer detta i Annex A, under kontrollåtgärderna för organisation av informationssäkerhet: där förväntas roller och ansvar vara tilldelade och dokumenterade, inte bara muntligt överenskomna. Att nämna ett namn utan dokumenterad roll är därför ofta en ofullständig ifyllning.

Vad kunden exakt vill se varierar per format: ibland är det en jobbtitel (CISO, IT-chef, direktör), ibland en RACI-liknande tabell, ibland bara frågan om det ÖVERHUVUDTAGET finns en utsedd ansvarig person. Om företaget inte har någon formellt utsedd ansvarig men uppgiften faktiskt ligger hos någon, är det ofta tillräckligt för ett "ja" — förutsatt att det står någonstans, till exempel i en arbetsbeskrivning eller mötesprotokoll. Utan någon dokumentation är "nej" det ärliga svaret; kedjedossieren kan inte lösa det genom att hitta på ett påstående. Den här frågan hänger ofta ihop med policy för riskanalys och säkerhet i informationssystemeftersom en kund som frågar om styrning oftast också vill veta vem som har fastställt den här policyn.

Var detta finns i direktivet och normen

Referensen till styrning och ansvar finns i artikel 21 stycke 2 punkt a i NIS2-direktivet (policy för riskanalys och informationssäkerhet) och i Annex A av ISO/IEC 27001, under organisatoriska kontrollåtgärder. I Nederländerna återkommer samma skyldighet genom cyberlagstiftningen, som träder i kraft den 15 augusti 2026 som omställning av NIS2. Tillsynsmyndigheter och kunder som ställer den här frågan prövar implicit också om det finns en process bakom — därför löper den här frågan i praktiken ofta tillsammans med frågan om effektiviteten av åtgärderna bedöms periodiskteftersom en ansvarig utan ett granskningsmoment är på papperet värd lite.