spørgeskemaet spørger, om ledelsen er involveret i cybersikkerhed

Ledelsesengagement er en separat NIS2-forpligtelse, adskilt fra de ti foranstaltninger

Dette spørgsmål handler ikke om teknik, men om governance: er ledelsen selv engageret i cybersikkerhed, eller er det helt delegeret til IT. Under artikel 21 stk. 2 i NIS2 fremgår de ti foranstaltninger selv, men artikel 20 i direktivet forpligter derudover, at de regulerede enheder godkender risikostyringforanstaltningerne og fører tilsyn med deres gennemførelse, og at medlemmer af ledelsesorganer modtager uddannelse for at kunne vurdere cyberrisici. Dette er således et selvstændigt spørgsmål på listen: ikke "hvilke foranstaltninger har I", men "kender og godkender toppledelsen dette".

Som bevis accepteres normalt et uddrag fra mødereferat, hvor ledelsesorganen har vedtaget eller evalueret sikkerhedspolitikken, et organisationsskema, der viser rapporteringslinjerne til ledelsen, eller et dagsordenspunkt fra et periodisk møde i ledelsesorganen om cyberrisici. Hvis dette mangler, er "nej" det ærlige svar her — en leverandør, der udfylder dette uden dokumentation, risikerer, at kunden vender tilbage til det senere. Dette spørgsmål hænger ofte sammen med spørgsmålet bliver effektiviteten af sikkerhedsforanstaltningerne testet periodisk, da test uden ledelsesmæssig opfølgning er for en kunde et ufuldstændigt svar. Det er også relevant, om Deres virksomhed selv falder under NIS2-direktivet, fordi dette så ikke kun er et spørgsmål fra Deres kunde, men også en egen lovpligtig forpligtelse fra 15. august 2026, når Cybersikkerhedsloven træder i kraft.

Hvor dette kommer fra: artikel 20 ved siden af artikel 21 i NIS2

Artikel 20 i Direktiv (EU) 2022/2555 regulerer ansvarlighed og engagement af regulerede enheder, adskilt fra de ti materielle foranstaltninger i artikel 21 stk. 2; ISO/IEC 27001 har ikke et bogstaveligt ækvivalent i Annex A, men kræver gennem normens kernekrav (afsnit 5, ledelse) faktisk demonstreret engagement fra toppledelsen, som ofte leveres som et selvstændigt bevisstuk ved siden af Annex A-foranstaltningerne.