vi är inte certifierade men enkäten frågar efter det ändå

Fyll inte i något certifikat utan att ha en motivering

Utan ISO 27001-certifikat fyller du i "nej" på certifieringsfrågan, och det är inget problem — ett certifikat är inte obligatoriskt, inte heller enligt NIS2. Vad som spelar roll är om de underliggande åtgärderna finns på plats. Frågorna från din kund om certifikatet är vanligtvis det snabbaste sättet att kontrollera om din riskhantering är i ordning; utan certifikat måste du visa det på ett annat sätt.

Titta därför inte bara på ja/nej-frågan, utan på vad som ligger bakom den. Ofta följer en uppföljningsfråga om konkreta åtgärder: åtkomststyrning, incidenthantering, kontinuitet. Det är samma ämnen som Annex A-kontrollåtgärderna i ISO 27001, och också samma ämnen som de tio åtgärderna i artikel 21 stycke 2 NIS2. Om din ketendossier har svar på om det finns en policy för riskanalys och säkringen av informationssystem och på om det finns en procedur för säkerhetstillbudfyller du då dessa uppföljningsfrågor med en väl underbyggd svar, även om det inte finns något certifikat bakom det. Systemet föreslår det svaret från din dossier; du bekräftar det per fråga med ja eller nej innan det skickas till din klients portal.

Certifiering och åtgärder är två separata frågor

ISO/IEC 27001 utfärdar certifikatet på grundval av en granskning mot kontrollåtgärderna i Annex A; NIS2 (Direktiv (EU) 2022/2555, artikel 21 stycke 2) föreskriver dessa tio åtgärder i sig själva, oberoende av certifiering. Den nederländska cybersäkerhetslagens implementerar denna förpliktelse och träder i kraft den 15 augusti 2026. En kund som ställer frågor om certifikatet testar alltså i själva verket om du uppfyller de underliggande åtgärderna — certifikatet är beviset, inte kravet i sig. Om du själv omfattas av denna förpliktelse beror på om företaget omfattas av NIS2-direktivet eller den nationella implementeringen; det avgör hur tung vikt uppföljningsfrågorna får, även utan certifikat.