kunde spørger, hvordan vi reagerer på en cyberincident, hvordan udfylder jeg det

Incidentresponplan: proces, ikke kun dokument

Spørgsmålet om incidentresponsplanen handler om, hvordan organisationen reagerer, når der påvises et sikkerhedsincident: hvem der skal advares, hvem der beslutter om eskalering, hvordan genoprettelsen igangsættes, og hvordan der rapporteres til kunder eller tilsynsmyndigheder. Et format spørger ofte efter bevisstykket selv — incidentresponsplanen eller procedurebeskrivelsen — men de fleste indkøbende parter tester implicit også, om planen nogensinde er blevet brugt eller testet. Et svar "ja, der er en plan" uden at der nogensinde har været en øvelse eller en rigtig incident, er faktisk korrekt men svagt; angiv, at der ligger en procedure, og hvad du kan dokumentere herom, såsom en testrapport eller en evaluering efter et tidligere incident.

Hvis en formelt testet plan mangler, er "nej" med en kort forklaring bedre end et udfyldt "ja" uden underliggende stykke. Nogle kunder spørger specifikt efter indberetningsfristerne til dem som modtager — det er en kontraktlig aftale, ikke automatisk samme frist som en lovpligtig indberetningspligt. Forveksle ikke de to i svaret: hvad du forpligter dig til over for din kunde i en SLA, er uafhængigt af, hvad der eventuelt skal rapporteres til en tilsynsmyndighed. Dette spørgsmål hænger ofte sammen med proceduren for håndtering af sikkerhedshændelser, og med spørgsmålet om, hvorvidt genoprettelse og nødvendighed er godt ordnet via sikkerhedskopier og en nødforsyning — et format deler dette nogle gange op over flere spørgsmål, der i dossieret hører sammen.

Retsgrundlag: artikel 21, stk. 2 NIS2 og Annex A

Incidenthåndtering er nævnt som en særskilt foranstaltning i artikel 21, stk. 2 i NIS2-direktivet, ved siden af risikovurdering og forretningskontinuitet — det er en af de ti foranstaltninger, som direktivet skelner mellem. ISO/IEC 27001 konkretiserer dette i kontrolforanstaltningerne i Annex A, hvor hændelsesstyring udgør en egen kategori med krav til registrering, reaktion og evaluering. Cybersikkerhedsloven implementerer denne forpligtelse i dansk ret og træder efter forventning i kraft den 15. august 2026; indtil da er tilslutning til selve direktivet udgangspunktet ved begrundelsen af et svar.