Finns det en rutin för hantering av säkerhetshändelser?

Incidenthantering är en av tio obligatoriska åtgärder

Ja, och denna fråga testar specifikt den andra av de tio åtgärderna enligt artikel 21 stycke 2 NIS2: "incidenthantering" står bokstavligen bredvid riskanalys som egen kategori. Den som får denna fråga måste således inte bara säga att det finns ett förfarande, utan också visa vad det innehåller: hur en händelse rapporteras, vem som tar hand om den, vilka steg som vidtas och hur det dokumenteras vad som har hänt. Ett förfarande utan ägare eller utan fastställda steg övertygar inte en revisor, även om dokumentet existerar.

Konkret bevis är vanligtvis en förfarandebeskrivning eller runbook, med klassificering av incidenter (allvarlighetsgrad, påverkan), en rapporteringspunkt eller kontaktperson, och ett steg för utvärdering efter genomförandet. Den utvärderingen är inte dekorativ: utan ett fastställt sätt att registrera och bevara händelser i systemen, finns det ingen grund för att rekonstruera en händelse eller bevisa att den har hanterats. Om förfarandet saknas ännu, är "nej, under utveckling" ett mer ärligt svar än att hitta på ett förfarande som inte finns — frågelistan frågar efter vad som finns, inte efter en avsikt.

Hur detta förhåller sig till kontinuitet och riskanalys

Artikel 21 stycke 2 nämner de tio åtgärderna som en helhet, och incidenthantering står inte separat från resten. En händelse som påverkar tjänstleveransen aktiverar ofta punkten om säkerhetskopior och en nödlösning för att återställa tjänstleveransen; ett incidentförfarande som inte hänvisar till återställningsplanen är ofullständigt. Incidenthantering är också kulmen på policy för riskanalys och säkring av informationssystem: riskanalys förutser vad som kan gå fel, incidenthantering reglerar vad som händer om det går fel ändå. En kund som frågar om förfarandet kontrollerar således implicit om dessa två är samordnade.