kunde ønsker, at vi underskriver en sikkerhedserklæring, må vi det uden videre

Underskrivelse er tilladt, men læs efter hvad der står

Ja, det må en kunde spørge om — en sikkerhedserklæring er ingen lovpligtig forpligtelse men en kontraktlig krav, og det står en kunde frit for at stille. Pointen er ikke om han må spørge om det, men om erklæringen dækker det, I faktisk gør. En underskrift under "vi overholder de ti foranstaltninger i artikel 21 stk. 2 NIS2" eller under "vi er ISO 27001-kompatible" er en løfte med kontraktlig værdi, ikke et flueben på en spørgeskema. Hvis der kommer en tvist — en hændelse hos kunden, der fører tilbage til jer — er denne erklæring det første dokument, der hentes frem.

Se således først på formatet. Spørger erklæringen om et ja/nej for hver foranstaltning, eller er det én blank erklæring "vi er NIS2-kompatible"? Det første kan du underbygge punkt for punkt; det andet er ofte bredere end hvad du kan dokumentere, især hvis du ikke selv er omfattet af direktivet men som leverandør til en enhed, der er det — eller om virksomheden selv falder under NIS2-direktivet er så det første spørgsmål, du besvarer for dig selv. Underskrv aldrig en påstand om en foranstaltning, som du ikke kan påpege, for eksempel eller der er en proces til at opdage sårbarheder — hvis du ikke har det, så skriv det ned eller bed om en specificeret version.

Hvor ansvaret kommer fra

Erklæringen selv får sin vægt ikke fra cybersikkerhedsloven — den forpligter kun de udpegede enheder selv, ikke deres leverandører direkte — men fra den kontrakt, du underskriver. NIS2 virker gennem artikel 21 stk. 2, som forpligter enheder til at styre risici i forsyningskæden; det er grunden til, at denne enhed spørger dig herom, ikke grunden til, at du er bundet til det. Hvad du lover, står således i teksten på selve erklæringen, ikke i direktivet.