Indirekte omfattet: når kunden sender NIS2-spørgeskemaet

Mange mellemstore virksomheder har fulgt NIS2-debatten med lettelse: for små, forkert sektor, ikke omfattet. Så kommer der en e-mail fra den vigtigste kunde med et spørgeskema om informationssikkerhed, 40 spørgsmål og frist om to uger.

Hvorfor spørgeskemaet kommer

NIS2 forpligter de omfattede enheder til også at tage højde for sikkerheden i deres forsyningskæde (direktivets art. 21, stk. 2, litra d). Jeres kunder skal altså vide, hvor robuste deres leverandører er. Spørgeskemaet er deres måde at dokumentere det på. Det er ikke et udtryk for mistillid, men en pligt, som kunden giver videre til jer.

De typiske spørgsmål

De fleste spørgeskemaer kredser om de samme emner:

• Findes der en beredskabsplan, og hvornår blev den sidst testet?
• Hvor hurtigt kan I levere igen efter et nedbrud?
• Hvordan rapporteres sikkerhedshændelser, og til hvem?
• Hvem har adgang til kundens systemer og data?
• Hvordan er backup organiseret, og er den adskilt fra produktionen?

Tre fejl, jeg ofte ser

At svare ja til alt. Det ser godt ud i første omgang, men bliver et problem ved kundens næste audit, når der bliver bedt om dokumentation.

At besvare hver forespørgsel fra bunden. Med flere kunder får I flere spørgeskemaer med lignende spørgsmål i nye formuleringer. Uden en central samling af svar og dokumentation koster det dage hver gang.

At skjule mangler. Et ærligt svar med en handlingsplan overbeviser mere end et poleret. „En test af genetablering er planlagt til andet kvartal“ er et godt svar.

Det bør I forberede

Opbyg et svarbibliotek: korte, dokumenterbare udsagn om beredskab, backup, adgange og rapportering, hver med dokumentationen bag. Så bliver hvert nyt spørgeskema en opgave på timer i stedet for dage.

Og hvis et spørgsmål får jer til at tøve, er det et godt fingerpeg om, hvor jeres egen robusthed stadig har huller. Uanset om en lov tvinger jer til at se efter.