Den fejl, der forekommer hyppigst
Den mest almindelige fejl i et cybersikkerhedsspørgeskema er ikke, at du udfylder noget forkert, men at du udfylder noget, som du ikke længere kan dokumentere. Et svar som "vi laver sikkerhedskopier" eller "adgangskodepolitik er implementeret" skrives ofte ned fra hovedet, mens kunden faktisk stiller spørgsmål om den aktuelle situation: er foranstaltningen stadig gyldig nu, og er der et dokument, der bekræfter det. Denne forskel mellem, hvad du tror, du gør, og hvad du kan dokumentere, er kernen i næsten hver afvisning.
Løsningen ligger ikke i bedre formulering, men i en anden rækkefølge: først at få dine bevisstykker i orden, og først derefter at besvare. Den, der arbejder modsat, udfylder ud fra hukommelse og risikerer, at svaret ikke længere stemmer overens med virkeligheden.
Hvorfor dette går oftere galt end du tror
Et cybersikkerhedsspørgeskema kommer sjældent alene. En bank sender et format, en stor kunde sender et andet format, og en forsikringsgiver stiller igen andre spørgsmål — alt sammen om nogenlunde de samme emner. Tilsynsmyndigheder og brancheorganisationer henviser her regelmæssigt til de ti foranstaltninger, der er nævnt i NIS2-direktivet, såsom adgangskontrol, hændelseshåndtering og sikring af forsyningskæden. Den, der ikke tager disse ti emner som et fast udgangspunkt, besvarer hver liste på ny fra bunden, og det er her, uoverensstemmelser opstår.
Fejl 1: det samme svar, blot formuleret anderledes
Fordi hver portal bruger sit eget format, skrives det samme faktum ofte lidt anderledes. På en liste skriver du, at adgangen "er begrænset til autoriserede medarbejdere", på en anden at der "findes en rollemodel". Begge kan være rigtigt, men hvis en kunde lægger svarene ved siden af hinanden — og det sker i stigende grad, også automatisk — falder forskellene i øjnene. Ikke fordi der er noget galt, men fordi det virker uoverensstemmende.
Fejl 2: en foranstaltning på papir, ikke i praksis
Et politikdokument, der blev udarbejdet for tre år siden og aldrig er blevet opdateret, er ikke et bevis på, at en foranstaltning stadig gennemføres. Tilsynsmyndigheder og kunder ser her ikke kun på dokumentets eksistens, men på datoen og på, hvem der har godkendt det. At udfylde et spørgeskema på grundlag af et forældet dokument er den anden mest almindelige fejl.
Fejl 3: udløbne bevisstykker, som ingen erstatter
Certifikater, penetrationstestrapporter og forsikringsbevisgier har en gyldighedsperiode. Den, der ikke holder styr på disse centralt, opdager ofte først ved udfyldelse af en ny liste, at et stykke er udløbet. Det tager tid, og nogle gange skal hele indsendelsen vente, til et nyt stykke er modtaget. læs per emne, hvilke bevisstykker der normalt anmodes om og hvornår de i gennemsnit udløber.
Fejl 4: omfanget udfyldt for bredt eller for snævert
Et spørgsmål om "din organisation" besvares nogle gange, som om det gælder ét sted, mens kunden mener hele den juridiske person — eller omvendt. Det virker som en detalje, men afgør, om svaret er indholdsmæssigt korrekt. Hvis du er i tvivl om omfanget af et spørgsmål, er det tilrådeligt at kontrollere definitionen i selve spørgeskemaet eller at stille spørgsmålet direkte til kunden.
Hvordan du undgår dette i praksis
De fleste af disse fejl opstår, fordi de samme oplysninger holdes spredt flere steder: i postkasser, i Excel-filer, i én medarbejders hoved. En central oversigt over foranstaltninger og bevisstykker med en klar sidste-kontrol-dato for hvert stykke forebygger størstedelen af de ovennævnte fejl. Denne oversigt behøver ikke at blive genopbygget for hver liste; den suppleres, så snart noget ændres.
Supplia.eu er bygget til at understøtte netop det overblik: systemet genkender spørgsmålene i en uploadet liste og udfylder dem ud fra dit kædefilssystem, hvorefter du selv bekræfter per svar, om det stemmer. Vi vurderer eller forklarer ingenting — den materielle kontrol og indsendelsen til dit kundes portal forbliver dit ansvar. Med et par spørgsmål ser du hurtigt, hvor dit dossier står på nuværende tidspunkt, og på siden om vores arbejdsmetode står præcis, hvor informationen kommer fra.
Hvad dette ikke erstatter
Denne artikel beskriver almindelige mønstre, ikke en vurdering af dine konkrete svar eller dossier. Om en konkret foranstaltning opfylder, hvad en bank, forsikringsgiver eller stor kunde præcis ønsker, afhænger af spørgsmålsstillingen fra den pågældende part selv. Hvis du er i tvivl om et konkret spørgsmål, er det klogt at forelægge det for aftageren, eller ved juridiske spørgsmål at rådføre sig med en jurist. På siden med ofte stillede spørgsmål findes et overblik over, hvad vi gør og ikke gør.
Vil du vide, om dit dossier allerede forhindrer de mest almindelige fejl? Foretag den gratis quick-scan, eller gennemse emnerne i videnbasen — begge er tilgængelige uden forpligtelse.