de spørger, hvem vores CISO er, men vi har ingen med den titel

Ingen CISO nødvendig, men et kontaktpunkt for sikkerhed

Du kan normalt bare udfylde "nej" her, uden at det er en mangel. Ingen af de ti foranstaltninger i artikel 21 stk. 2 i NIS2-direktivet foreskriver en funktionstitel. Direktivet regulerer forpligtelser på organisationsniveau — governance, risikostyring, hændelseshåndtering — ikke hvordan du fordeler det internt eller hvad rollen hedder. En CISO ("Chief Information Security Officer") er én måde at implementere det på, især i større organisationer, men ikke et krav. Inden for ISO/IEC 27001 er det det samme: Annex A kræver dokumenterede ansvarsområder for informationssikkerhed, ikke en specifik titel på lønningslisten.

Det, din kunde rent faktisk vil vide, er hvem der internt er ansvarlig og kan stilles til ansvar ved en hændelse. I en mindre virksomhed er det ofte ejeren selv, IT-manageren eller nogen, der håndterer sikkerhed ved siden af en anden rolle. Udfyld det som svar på det underliggende spørgsmål: navn, funktion og eventuelt hvordan man kontakter denne person. Det stemmer også overens med hvem der reagerer, hvis der er en sikkerhedshændelse — det er normalt den samme person eller det samme team. Er du usikker på, om din kunde vil acceptere "ingen CISO, men en ansvarlig"? Bekræft så ikke det svar blindt med "ja" — det er en vurdering, der tilhører indsenderen, ikke et automatisk udfyldt dossier.

Hvor dette fremgår af: artikel 21 stk. 2 og Annex A

Artikel 21 stk. 2 i NIS2-direktivet nævner ti kategorier af foranstaltninger, herunder risikostyring, hændelseshåndtering og adgangskontrol, men ingen rollebenævnelse. Den hollandske cybersikkerhedslov, som implementerer dette direktiv og træder i kraft den 15. august 2026, følger samme struktur. ISO/IEC 27001 Annex A anmoder i afsnittet om organisering af informationssikkerhed om tildelte ansvarsområder, ikke om en funktionstitel. Vil du kontrollere, om din virksomhed selv falder under NIS2-forpligtelserne, er det et separat spørgsmål, der står uafhængigt af dette — se på om virksomheden som enhed falder under NIS2-direktivet.