måste jag skicka vårt responsplan som dokument till kunden

Vanligtvis inte hela dokumentet, men väl kärndata

Nej, i de flesta fall behöver den fullständiga incidentresponsplanen inte bifogas. Portaler som frågar om incidenthantering — del av förfarandet för hantering av säkerhetstillbud — vill normalt veta eller att det finns en procedur, vem som är ansvarig, och inom vilken tid en incident eskaleras och rapporteras. Det är frågor som du besvarar med ett ja/nej och en kort förklaring, inte med den fullständiga beredskapsplanen inklusive kontaktkedjor och systemnamn.

Det finns två situationer när en bilaga faktiskt efterfrågas: om kunden uttryckligen har "ladda upp er incidentresponsplan" som fragetyp, eller om det är en granskningsfrågeformulär som kräver bevishandlingar. I så fall är en sammanfattningsversion — en sida med omfattning, roller, rapporteringstider och eskaleringsvägar, utan känslig teknisk information — ofta tillräcklig. Huruvida en fullständig plan eller en sammanfattning behövs framgår av själva frageformuleringen; om det står "beskriv" i stället för "ladda upp", är ett textuellt svar mer lämpligt än en bilaga.

Varför denna åtskillnad finns: artikel 21 stycke 2 NIS2

Artikel 21 stycke 2 i NIS2-direktivet nämner incidenthantering som ett av tio obligatoriska åtgärder, men föreskriver ingen dokumentform — direktivet kräver en process, inte ett specifikt uppladdningsformat. ISO/IEC 27001 Bilaga A utvecklar detta till kontrollåtgärder kring respons och återställning, och där ser du samma mönster: standarden testar om processen finns och fungerar, inte om det finns ett väl definierat dokument som heter "incidentresponsplan". Det förklarar varför de flesta portaler nöjer sig med en beskrivning i svarsfältet, och varför en bilaga först behövs när frågan uttryckligen kräver det. Om du ännu inte har dokumenterat processen är det ofta enklare att först policyn för riskanalys och informationssäkerhet få ordning — incidenthantering bygger vanligtvis på detta.