vi har ingen formel sikkerhedspolitik, må jeg alligevel svare ja på spørgeskemaet

Nej, ikke uden dokument, der viser politikken

Nej, at udfylde "ja" kan ikke ske her, heller ikke hvis praksis stort set er i orden. Spørgsmålet om sikkerhedspolitik spørger ikke, om I arbejder sikkert, men om det er fastlagt: et dokument med hvem der er ansvarlig for hvad, hvilke foranstaltninger der gælder, og hvor ofte det gennemgås. Uden sådan et stykke er der intet at vise ved "ja", hvis kunden spørger videre, eller hvis en revisor anmoder om det. Supplia foreslår ikke ja, hvis kettedossieren ikke har en kildefil — og det gælder fuldt ud her, selvom spørgsmålet i sig selv er genkendelig for en erfaren udfylder.

Hvad der som regel kan være acceptabelt: "ja, uformelt" eller "nej, under udvikling" med en kort forklaring plus henvisning til hvad der faktisk er dokumenteret — en adgangspolitik, en hændelsesprocedure, en leverandørkontrakt med sikkerhedskrav. Mange kunder værdsætter den ærlighed mere end et "ja", der ikke holder ved verifikation. Hvis der er noget dokumenteret, men ikke ét centralt dokument, er det ofte stærkere at henvise til de enkelte dele: adgangskontrol og forvaltning af virksomhedsmidler, proceduren for sikkerhedsincidenterog politikken omkring sårbarheder. Tilsammen danner disse ofte allerede kernen af det, som spørgsmålet egentlig betyder, selv uden at det hedder "sikkerhedspolitik".

Hvor dette følger fra de ti foranstaltninger

Politikken for risikoanalyse og informationssikkerhed er den første af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) — se også hvad en kunde betyder med risikoanalyse. Enhver, der falder under Cybersikkerhedsloven, skal kunne påvise dette, så snart loven træder i kraft. ISO/IEC 27001 kræver i Annex A ligeledes dokumenteret politik som en separat kontrolforanstaltning, uafhængigt af spørgsmålet om, hvorvidt virksomheden selv er certificeret.