enkäten frågar om kontaktperson för säkerhet, vem ska det vara hos oss

Kontaktpersonen är en roll, inte ett namn på checklistan

Fyll i den person som är internt ansvarig för säkerhetsmåtten, inte nödvändigtvis ägaren eller direktören. I praktiken är det den person som också är involverad i processen för att upptäcka och åtgärda sårbarheter och under förfarandet för hantering av säkerhetstillbud — ofta därför samma person som är internt kontaktpunkt om något går fel. I ett litet företag är det ofta företagaren själv eller IT-administratören; i ett större företag en säkerhetschef eller någon med en jämförbar befattningstitel. Viktigare än titeln är att denna person är tillgänglig och vet vad som händer, eftersom kunden använder denna kontakt särskilt vid en incident eller en revision.

Ange hellre en roll- eller funktionspostlåda än ett privat namn, om det är möjligt: det förhindrar att checklistan blir föråldrad så snart någon byter befattning. En adress som "security@" eller "ciso@" fungerar för kunden lika bra som ett namn, och är mer stabil. Om organisationen ännu inte har en separat funktion för detta, är det vanligt att ange den allmänt ansvarige för IT eller verksamhet — så länge denna person verkligen är tillgänglig för innehållet, inte bara för namn.

Var detta kommer från: artikel 21 och styrningens roll

Artikel 21 punkt 2 i NIS2-direktivet nämner ingen kontaktperson som ett separat krav, men de tio åtgärder som anges där — inklusive riskhantering, incidenthantering och affärskontinuitet — förutsätter att någon bär dem internt och är tillgänglig. Kunder som ställer denna fråga testar alltså om det finns policy för riskanalys och säkerhet av informationssystem och om denna politik har en ägare. ISO/IEC 27001 elaborerar detta mer konkret: Annex A innehåller åtgärder om roller och ansvar inom informationssäkerhet, och en utsedd kontaktperson är ofta det synliga beviset för detta. Den nederländska cybersäkerhetslagar, som implementerar NIS2-direktivet och träder i kraft den 15 augusti 2026, lägger inte till något separat krav på denna punkt bortom vad som redan finns i direktivet.