Har företaget policy för riskanalys och säkerhet för informationssystem?

Riskanalyspolicy är grunden för de övriga nio åtgärderna

Ja, i de flesta fall finns det något att säga här, eftersom riskanalys nämns som första åtgärd i artikel 21 punkt 2 NIS2 och utgör därmed grunden för resten av policyn. Frågan testar inte bara om ett dokument "riskpolicy" finns, utan om organisationen systematiskt granskar vilka informationssystem och processer som är sårbara, och vilka åtgärder som motsvarar dem. En kund som ställer denna fråga vill i själva verket veta om säkerhet är utformad på grundval av en riskvärdering, eller ad hoc.

I praktiken är detta fält ofta svårt att svara på med ett enkelt ja, eftersom riskanalys vanligtvis inte är ett separat policydokument utan är sammanvävt i andra delar: är åtkomstpolicyn fastställd, inklusive hanteringen av företagstillgångar, finns det en process för att identifiera och åtgärda sårbarheter, och granskas säkerhetsåtgärdernas effektivitet med jämna mellanrum. Utan ett underliggande dokument som beskriver riskvärderingen — även om det är en enkel intern översikt — kan ett "ja" här inte stödjas. Om detta dokument saknas är "nej" eller "delvis" det ärliga svaret, eventuellt med en förklaring om vilka delar som redan finns på plats.

Var detta exakt följer från artikel 21 punkt 2

Artikel 21 punkt 2 bokstav a i direktiv (EU) 2022/2555 nämner "policy för riskanalys och säkerhet för informationssystem" som första av de tio obligatoriska åtgärderna, och är därmed den mest direkta källan för denna fråga. Direktivet själv utvecklar inte hur en riskanalys ska genomföras — denna detalj överlämnas till nationella genomförandebestämmelser eller till standarder som ISO 27001, vilken för övrigt skiljer sig från denna policyfråga: se är organisationen ISO 27001-certifierad. Den som vill kontrollera om organisationen själv omfattas av direktivet hittar det under omfattas organisationen av NIS2-direktivet eller dess nationella genomförande.