Hur lång tid tar det att fylla i en cybersäkerhetsfrågelista?
Det finns ingen fastställd tidsfrist för att fylla i en cybersäkerhetsfrågelista. Genomlöpningstiden i praktiken varierar mycket: från en halv dag om svaren redan är klara, till några veckor om information först måste samlas in från olika kollegor. Skillnaden ligger sällan i själva frågelistan, utan i hur mycket av svaret som redan är dokumenterat någonstans.
Störst försening uppstår ofta inte vid besvarandet av frågorna, utan vid identifieringen av rätt person inom företaget och vid kontrollen av om ett underlag fortfarande är giltigt. Den som vet detta kan bedöma sin egen genomlöpningstid bättre än den som endast tittar på själva frågelistan.
Vad som bestämmer genomlöpningstiden
Tre saker bestämmer i stor utsträckning hur snabbt en cybersäkerhetsfrågelista blir klar. För det första: är det första gången ditt företag får sådan en lista, eller har du besvarat likartade frågor tidigare för en annan kund? Företag som möter dessa frågor för första gången måste internt utreda vem som kan ge vilket svar. För det andra: ligger de underliggande underlagen redan klara, eller måste de begäras från en IT-leverantör, en revisor eller den interna systemadministratören? För det tredje: vem inom företaget får bekräfta svaren på organisationens vägnar? För ett enmanföretag är det ofta en person, för ett större företag passerar frågor om åtkomststyrning, säkerhetskopior och incidenthantering olika avdelningar.
Där det i praktiken ofta stannar till
Den vanligaste förseningen är inte innehållsmässig utan organisatorisk: en fråga om lösenordspolicy eller åtkomsträttigheter vidarebefordras till IT-administratören, som inte tar tag i frågan förrän dagar senare för att han inte vet att det finns en deadline. Ett andra vanligt flaskehals är ett underlag som nu är utgånget, till exempel ett intyg från en extern IT-aktör eller en sammanfattning av vidtagna åtgärder som inte längre motsvarar den aktuella situationen. Ett tredje flaskehals är att varje portals layout och terminologi skiljer sig åt, vilket gör att samma svar måste omformuleras gång efter gång i något olika format.
Mycket av denna försening går att undvika genom att ha underlag och svar centralt dokumenterade i stället för att samla in dem på nytt för varje frågelista. undersökt i kunskapsbankens sektion per ämne framgår vilka av de mest ställda delarna som är och vilka underlag som vanligen hör till dem.
Vad en cybersäkerhetsfrågelista ofta frågar om
Många mottagare baserar sin frågelista, medvetet eller omedvetet, på de tio åtgärder som nämns i NIS2-direktivet. NIS2 är ett europeiskt direktiv om organisationers digitala säkerhet; de tio åtgärderna handlar bland annat om åtkomststyrning, hantering av incidenter, säkerhetskopior och skyddet av leverantörskedjor. Inte alla företag omfattas av NIS2 själva, men många mottagare som väl omfattas av det översätter dessa ämnen till frågelistan som de skickar till sina egna leverantörer. Det förklarar varför likartade frågor återkommer hos olika kunder, även om ditt företag inte direkt omfattas av direktivet.
Vad du själv kan göra
Genomlöpningstiden blir framför allt kortare om det är känt vem inom företaget som kan besvara vilken del, och om underlagen ligger på en fast plats med ett tydligt utgångsdatum. Det betyder inte att varje frågelista blir klar på en gång: varje portal ställer sina egna frågor i sin egen ordning, och en kund kan alltid be om en tillägg. Det som hjälper är att du inte börjar från början med samma sammanfattning av åtgärder och underlag vid varje ny frågelista.
För att se vilka ämnen som är relevanta för er situation kan ni på några frågor se var ni står. Den som vill veta hur ett system som supplia.eu kommer fram till ett svar utan att någon läser med eller bedömer något, hittar det förklarat på sidan var informationen kommer från.
Slutligen
Hur lång tid det tar att fylla i en cybersäkerhetsfrågelista beror därför främst på interna förberedelser, inte på själva frågorna. Om ni är osäker på en specifik fråga från en kund eller på vad som är juridiskt bindande för ert företag, rådfråga då texten i direktivet eller en jurist; supplia.eu gör ingen bedömning av individuella situationer. För allmänna frågor om hur plattformen fungerar finns en översikt på sidan med vanliga frågor. Vill ni först se om er situation ansluter till de ämnen som köpare vanligtvis frågar om, kan den kostnadsfria snabbanalysen vara en bra startpunkt.