Du har netop gennemført dit første sikkerhedsspørgeskema fra en kunde. Timer brugt på at finde frem til, hvem der er ansvarlig for firewallen, hvilken adgangskodepolitik I rent faktisk følger, og om I har en backupprocedure dokumenteret eller ej. Så kommer tre måneder senere en anden kunde med et tilsvarende spørgeskema, og det føles som om I starter forfra. Det behøver ikke at være sådan: forskellen mellem det første og det andet spørgeskema ligger ikke i, hvor hurtigt I skriver, men i om I dokumenterede noget første gang, som I kan læse igen.
Sikkerhedsspørgeskemaer fra forskellige kunder har betydelig overlap. En installationsfirma, der leverer til en energileverandør og en sundhedsinstitution, modtager spørgsmål som er 80 procent identiske: er der en ansvarlig for informationssikkerhed, hvordan håndterer I adgang til systemer, hvad gør I ved en hændelse, hvor ofte tester I backups. Formuleringen varierer fra kunde til kunde, men det bagvedliggende spørgsmål gør det ikke. Hvis man første gang kun sætter svaret i en e-mail til den ene kunde, skal man søge det op igen anden gang. Hvis man dokumenterer svaret som del af en arkivmappe, kopierer man det og tilpasser formuleringen.
Hvad der faktisk ændrer sig anden gang
Kernen i hvert spørgeskema — hvilke tiltag findes der, hvem er ansvarlig, hvilket bevisstykke hører til — ændrer sig lidt mellem kunderne. Det varierer derimod med spørgsmålsformen: en kunde spørger om 'adgangskontrol', en anden om 'identity and access management', og en tredje ønsker et ja/nej-svar hvor den første ønskede en forklaring på tre sætninger. Det er præcis den del, der ikke behøver at tage meget tid, hvis de bagvedliggende oplysninger allerede er på plads. Du omformulerer vendingen, ikke indholdet.
Der er én vigtig undtagelse: hvis noget i jeres organisation ændrer sig mellem det første og det andet spørgeskema — en ny leverandør, et andet backupsystem, en ændret ansvarlig — så er det tiden til at opdatere arkivmappen, ikke spørgeskemaet selv. En arkivmappe, der ikke følger med virkeligheden, skaber igen forsinkelser ved tredje eller fjerde kunde, fordi I så alligevel skal kontrollere, hvad der stadig passer, og hvad der ikke gør.
Forskellen mellem at besvare et spørgeskema og at vedligeholde en arkivmappe
Et spørgeskema er et øjebliksbillede for én kunde. En arkivmappe er et løbende overblik over de tiltag, som jeres organisation selv allerede har truffet, uafhængigt af hvem der spørger: hvilken status har hvert tiltag, hvilket bevisstykke hører til det, og hvem i organisationen er ansvarlig. Når det overblik eksisterer, er hvert spørgeskema, der kommer ind, i virkeligheden en eksport i en anden rækkefølge. læs de ti tilsynspligtsforpligtelser efter situation igennem giver et billede af hvilke elementer der normalt dukker op, også selvom jeres organisation ikke direkte falder under NIS2-kravene, men bliver påvirket gennem en kunde.
Denne forskel er også hvor tidsbesparelserne kommer fra i organisationer, der ikke selv er forpligtet — den store gruppe af små og mellemstore leverandører, som bliver påvirket gennem deres kundes tilsynspligtsforpligtelse. De behøver ikke at implementere en lov, men skal dog gentagne gange dokumentere, at basale forhold er i orden. Hvis man besvarer det første gang som løse e-mails, udfører man samme arbejde for anden kunde. Hvis man dokumenterer det i en arkivmappe, falder arbejdet for hver ekstra kunde i stedet for at forblive det samme.
Hvor grænsen går
Et dossier og de svar, der udarbejdes på baggrund heraf, træder ikke i stedet for køberens egen vurdering, og de er ingen garanti for, at det næste spørgeskema håndteres uden supplerende spørgsmål — hver køber vurderer selv, hvad der er tilstrækkeligt for ham. Et dossier erstatter heller ikke en revision, penetrationstest eller certificering; det bliver ved med at være arbejde for specialiserede parter. Det, som det gør, er at holde det gentagne spørgsmål 'hvordan håndteres det hos jer' forberedt, så I ikke skal gennemgå det forfra hver gang.
Om jeres organisation påvirkes via en køber, eller om I selv falder under Cybersikkerhedsloven, kan ses med nogle få spørgsmål via NIS2-check'en, som giver en indikation på få minutter. Check'en er gratis og kan gennemgås uden konto, ligesom forklaringen pr. emne i videnbasen. Selve dossieret, med status pr. foranstaltning, beviset og de forberedte svar til det næste spørgeskema, hører til abonnementet — hvad der præcist er inkluderet kan ses her.
Den, der gerne vil vide, hvor informationen på platformen kommer fra, og hvordan den holdes opdateret, læser det på siden, som forklarer, hvor informationen kommer fra. For egen situation — hvilke spørgsmål en bestemt køber må stille, og hvor langt vedkommende må gå — anbefales det stadig at rådføre sig med en jurist eller tilsynsmyndigheden ved tvivl; dossieret forberede, det vurderer ikke på vegne af jer.
Start med spørgsmålet om, hvor jeres organisation egentlig står: NIS2-check'en giver en indikation heraf på få minutter, uden at I skal have en konto.