kund frågar hur vi reagerar på en cyberincident, hur fyller jag i det

Incidentresponsplan: process, inte bara dokument

Frågan om incidentresponsplanen handlar om hur organisationen reagerar när ett säkerhetsincidet upptäcks: vem som varnas, vem som beslutar om eskalering, hur återställning startas och hur rapportering görs till kunder eller tillsynsmyndigheter. Ett format frågar ofta efter själva dokumentet — incidentresponsplanen eller procedurebeskrivningen — men de flesta inköpande parter testar också implicit om planen någonsin har använts eller testats. Ett svar "ja, det finns en plan" utan att det någonsin har genomförts en övning eller ett verkligt incident är faktiskt korrekt men svagt; ange att det finns en procedur och vad du kan visa upp om den, som ett testrapport eller en utvärdering efter ett tidigare incident.

Saknas en formellt testad plan är "nej" med en kort förklaring bättre än ett ifyllt "ja" utan underliggande dokument. Vissa kunder frågar specifikt om rapporteringsfrister mot dem som köpare — det är en avtalsbestämmelse, inte automatiskt samma tidsfrist som en lagstadgad anmälningsplikt. Blanda inte ihop de två i svaret: vad du åtar dig gentemot din kund i ett SLA är skilt från vad som eventuellt måste rapporteras till en tillsynsmyndighet. Denna fråga hänger ofta ihop med förfarandet för hantering av säkerhetstillbud, och med frågan om återställning och redundans är väl ordnad via back-ups och en nödåtgärd — ett format delar ibland upp detta över flera frågor som hör ihop i dossieren.

Rättslig grund: artikel 21 stycke 2 NIS2 och Annex A

Incidenthantering nämns som separat åtgärd i artikel 21 stycke 2 i NIS2-direktivet, vid sidan av riskanalys och verksamhetskontinuitet — det är en av de tio åtgärder som direktivet skiljer. ISO/IEC 27001 utvecklar detta i kontrollmåtten i Annex A, där incidenthantering utgör en egen kategori med krav på detektering, respons och utvärdering. Cybersakerhetlagen omvandlar denna förpliktelse till svensk rätt och träder i kraft enligt förväntning den 15 augusti 2026; fram till dess är anslutning till själva direktivet utgångspunkten vid underbyggnaden av ett svar.