de frågar om vårt kompletta säkerhetspolicy som dokument

Det är vanligtvis inte nödvändigt att dela hela policydokumentet

Nej, i de flesta fall behöver det inte göras, och det är heller inte vad kunden egentligen vill veta. En fråga som "skicka er säkerhetspolicy" är nästan alltid en översättning av något mer specifikt: kunden vill veta om det finns policy för riskanalys, om det finns en incidentprocedur, eller om åtkomsten är väl reglerad. Det är de tio åtgärder som anges i artikel 21 punkt 2 i NIS2, och samma indelning återfinns i kontrollåtgärderna i Annex A i ISO/IEC 27001. En enkät som begär "fullständig policy" delar vanligtvis upp det i delfrågor ändå — kontrollera därför först om så är fallet innan du laddar upp ett fullständigt dokument.

Risken med att skicka ett helt policydokument är inte juridisk utan praktisk: det innehåller ofta mer än vad kunden behöver — namn på verktyg, interna procedurer, kontaktuppgifter för personal. Den som föredrar att svara per fråga i stället för att dela ett dokument kan begränsa det med sekretessknappen till vad som faktiskt frågas. Om frågan ändå behandlar ett specifikt delämne är svaret ofta redan att hitta på annat håll: eller åtkomstpolicyn är fastställdeller om det finns en procedure för incidenter, eller om det testas regelbundet. Det är vanligtvis mer konkret att svara på än med ett fullständigt dokument.

Var detta följer från: artikel 21 punkt 2 och Annex A

Artikel 21 punkt 2 i NIS2 nämner tio konkreta åtgärder — riskanalys, incidenthantering, affärskontinuitet, sårbarhetshantering, åtkomstpolicy och mer — utan att kräva att en tredje part själv inser det bakomliggande dokumentet. ISO/IEC 27001 Annex A arbetar enligt samma logik: kontrollåtgärderna är granskningsbara per del, inte som ett indelat policydokument. Kom också ihåg att frågan om den egna organisationen omfattas av NIS2 eller den nationella genomförandet är skild från vad en kund begär i en enkät — dessa två saker förväxlas ganska ofta.