vi har ingen IT-avdelning, vem ska fylla i denna säkerhetsenquête

Ingen IT-avdelning är ingen undantag

Frågeformuläret handlar inte om vem som står på lönelistans, utan om huruvida de tio åtgärderna enligt artikel 21 stycke 2 NIS2 är på plats — även på företag med fem anställda. En kund som skickar denna lista vill veta om riskanalys, incidenthantering, kontinuitet och åtkomstkontroll är organiserade, inte om det finns en avdelning med det namnet. I ett litet företag ligger svaret ofta hos ägaren eller en extern IT-leverantör, och det är ett giltigt svar: vem som gör det förekommer inte i frågeformuläret, bara om det görs.

I praktiken innebär detta att den person som hanterar hosting, laptops eller bokföringsprogram — ofta ett externt företag — har de faktiska svaren på frågor om säkerhetskopior och nödåtgärder och om flerfaktorsautentisering. Denna leverantör behöver inte fylla i frågeformuläret, utan tillhandahåller beviset eller bekräftelsen med vilken företagaren själv svarar. För frågor som handlar om policy i stället för teknik — vem som får tillgång vart, vad som händer vid en incident — ligger kunskapen oftast hos ägaren själv, även utan IT-bakgrund.

Artikel 21 stycke 2 kräver åtgärder, inte en funktionstitel

Artikel 21 stycke 2 i NIS2-direktivet anger de tio åtgärderna som en resultatkrav för enheten, utan att ställa krav på organisationsstrukturen för att uppnå det resultatet. Bilaga A i ISO/IEC 27001 utvecklar samma åtgärder i kontroller som lika gärna kan genomföras av en extern part som av interna anställda. Huruvida företaget själv omfattas av direktivet är för övrigt en separat fråga, skild från vem som fyller i frågeformuläret — det kan härledas från egen NIS2-status.