Du har precis avslutat den första säkerhetsfrågeformuläret från en kund. Timmar av att söka efter vem som ansvarar för brandväggen, vilken lösenordsprincip du faktiskt tillämpar, och om det nu finns eller inte finns någon säkerhetskopieringsprocedur på papper. Sedan, tre månader senare, kommer en andra kund med en liknande lista, och det känns som om du börjar från början igen. Det behöver det inte: skillnaden mellan det första och andra formuläret ligger inte i hur snabbt du skriver, utan i om du dokumenterade något första gången som du kan läsa igenom igen.
Säkerhetsfrågeformulär från olika kunder överlappar kraftigt. En installationsföretag som levererar till en energinätoperatör och en sjukvårdsanläggning får frågor som är åttiofem procent identiska: finns det en ansvarig för informationssäkerhet, hur hanterar du åtkomst till system, vad gör du vid en incident, hur ofta testar du säkerhetskopiering. Formuleringen skiljer sig åt mellan kunder, men den bakomliggande frågan gör det inte. Den som bara sätter svaret första gången i ett e-postmeddelande till just denna kund måste söka upp det igen andra gången. Den som dokumenterar svaret som en del av en dossiér kopierar det och justerar formuleringen.
Vad som faktiskt förändras andra gången
Kärnan i varje formulär — vilka åtgärder finns det, vem är ägare, vilket stöddokument hör till det — förändras lite mellan en kund och en annan. Vad som däremot skiljer sig åt är frågorna: en kund frågar om 'åtkomstkontroll', en annan om 'identity and access management', och en tredje vill ha ett ja/nej-svar där den första frågade om en förklaring på tre meningar. Det är precis den delen som inte behöver ta mycket tid om den bakomliggande informationen redan är i ordning. Du skriver om formuleringen, inte innehållet.
Det finns ett viktigt undantag: om något i din organisation har förändrats mellan det första och andra formuläret — en ny leverantör, ett annat säkerhetskopieringssystem, en förändrad ansvarig — då är det tidpunkten att uppdatera dossiären, inte själva formuläret. En dossiär som inte följer med verkligheten skapar igen förseningar hos tredje eller fjärde kund, för då måste du ändå kontrollera vad som fortfarande är korrekt och vad som inte är det.
Skillnaden mellan att besvara ett formulär och att föra ett dossier
Ett formulär är en ögonblicksbild för en kund. En dossiär är en levande översikt över de åtgärder som din organisation redan har vidtagit, oavsett vem som frågar: vilken status har varje åtgärd, vilket stöddokument hör till det, och vem inom organisationen är ägare. Så snart denna översikt finns är varje formulär som anländer i princip en export i en annan ordning. gå igenom de tio skyldighetsåtgärderna per situation ger en bild av vilka komponenter som vanligtvis återkommer, även om din organisation själv inte direkt omfattas av NIS2-skyldigheterna utan påverkas genom en kund.
Det här skillnaden är också varifrån tidsbesparingen kommer för organisationer som själva inte är skyldiga — den stora gruppen små och medelstora leverantörer som påverkas genom skyldigheten hos sin kund. De behöver inte implementera någon lag, men väl upprepade gånger visa att grundläggande saker är i ordning. Den som första gången svarar på det som ett löst e-postmeddelande gör samma arbete hos den andra kunden. Den som dokumenterar det som en dossiär ser arbetet per extra kund minska i stället för att förbli detsamma.
Var gränsen ligger
En dos och de förväntade svar som förbereds utifrån den ersätter inte köparens egen bedömning, och den är ingen garanti för att nästa frågelista hanteras utan tilläggsfrågorna — varje köpare bedömer själv vad som är tillräckligt för honom. En dos ersätter inte heller en revision, pentest eller certifiering; det förblir arbete för specialiserade parter. Det den gör är att hålla den återkommande frågan "hur är detta ordnat hos er" förberedd, så att ni inte behöver ta reda på det från början varje gång.
Huruvida er organisation påverkas via en köpare eller själv faller under Cybersäkerhetlagen kan ses med ett par frågor via NIS2-kontrollen som ger en indikation på ett par minuterDen kontrollen är gratis och kan genomföras utan konto, precis som förklaringen per ämne i kunskapsbanken. Dossen själv, med status per åtgärd, beviset och de förväntade svaren för nästa frågelista, ingår i prenumerationen — vad som exakt ingår där kan ses här.
Den som vill veta var informationen på plattformen kommer från och hur den underhålls läser det på sidan som förklarar var informationen kommer från. För er egen situation — vilka frågor en specifik köpare får ställa och hur långt den får gå — rekommenderas det att rådgöra med en jurist eller den behöriga tillsynsmyndigheten vid osäkerhet; dossen förbereder, den bedömer inte för er.
Börja med frågan var er organisation faktiskt står: NIS2-kontrollen ger en indikation för det på ett par minuter, utan att ni behöver ett konto.