vi er ikke certificeret, men spørgeskemaet spørger alligevel efter det

Udfyld ikke uden certifikat uden at give en begrundelse

Uden ISO 27001-certifikat udfylder du "nej" ved certificeringsspørgsmålet, og det er ikke noget problem — et certifikat er ikke obligatorisk, heller ikke under NIS2. Det vigtige er, om de underliggende foranstaltninger er på plads. Spørgeskemaet fra din kunde stiller normalt spørgsmål om certificeringen som den korteste vej til at kontrollere, om din risikostyring er i orden; uden certifikat må du påvise det på anden vis.

Se derfor ikke kun på ja/nej-spørgsmålet, men på hvad der ligger bag det. Der følger ofte et opfølgende spørgsmål om konkrete foranstaltninger: adgangskontrol, hændelseshåndtering, kontinuitet. Det er de samme emner som Annex A-kontrolforanstaltninger i ISO 27001, og også de samme emner som de ti foranstaltninger i artikel 21 stk. 2 i NIS2. Hvis dit kædebilag har svar på om der er politik for risikovurdering og beskyttelse af informationssystemer og på om der er en procedure for sikkerhedshændelser, så udfylder du disse opfølgende spørgsmål med en begrundet svar, selvom der ikke er noget certifikat bag det. Systemet foreslår det svar fra dit bilag; du bekræfter det pr. spørgsmål med ja eller nej før det sendes til din kundes portal.

Certificering og foranstaltninger er to adskilte spørgsmål

ISO/IEC 27001 tildeler certificeringen på grundlag af en revision mod kontrolforanstaltningerne i Annex A; NIS2 (Direktiv (EU) 2022/2555, artikel 21 stk. 2) påbyder disse ti foranstaltninger selv, uafhængigt af certificering. Nederlændenes cybersikkerhedslov implementerer denne forpligtelse og træder i kraft den 15. august 2026. En kunde, der stiller spørgsmål om certificeringen, kontrollerer således reelt, om du overholder de underliggende foranstaltninger — certificeringen er beviset, ikke kravet selv. Om du selv falder ind under denne forpligtelse, afhænger af om virksomheden falder inden for NIS2-direktivet eller den nationale implementering; det afgør, hvor vægt de opfølgende spørgsmål har, også uden certifikat.