enkäten frågar om vi har utarbetat en incidentberedskapsplan

Incident response plan är en av de tio åtgärderna från artikel 21

Ja, detta är en identifierbar del: artikel 21 stycke 2 punkt b i NIS2-direktivet nämner "incident handling" som en av de tio obligatoriska åtgärderna. Kunden frågar här inte efter en vag beredskap att någon gång göra något vid ett hack, utan efter en fastställd procedur: vem rapporterar en incident, vem bedömer konsekvenserna, vem beslutar om eskalering och kommunikation, och inom vilken tid. Om denna procedur finns och är dokumenterad är detta ett bekräftande svar med dokumentet som bevis. Finns den inte, eller existerar den endast i huvudet på människor, är "nej" det ärliga svaret — ett halvhjärtat "ja" utan underliggande dokument orsakar mer skada vid revision än ett nej med en förklaring att det är under utveckling.

Observera skillnaden från frågan om detektion och identifiering: en incident response plan handlar om vad som händer efter att något har upptäckts, inte om hur sårbarheter identifieras — det senare hör till processen för att upptäcka och åtgärda sårbarheter. Vissa frågelistor ställer detta som en separat fråga, andra kombinerar det med kontinuitet ("hur återställer ni tjänsten"), vilket är ett annat ämne och besvaras via frågan om säkerhetskopior och nödåtgärder. Det är därför viktigt att bevara incident response och kontinuitet som separat bevis i kedjedokumentationen, även om de i praktiken står i samma dokument.

Var det finns i riktlinjen och normen

Artikel 21 stycke 2 punkt b i direktiv (EU) 2022/2555 nämner "incident handling" uttryckligen som obligatorisk åtgärd tillsammans med de övriga nio från detta stycke. I ISO/IEC 27001 återfinns detta under Annex A, bland kontrollmåtten för hantering av informationssäkerhetshändelser — den som redan är certifierad enligt ISO 27001 har troligtvis redan detta bevis tillgängligt. Cybersäkerhetsllagen implementerar artikel 21 i svenska regler, men träder i kraft först den 15 augusti 2026; fram till dess är själva direktivet det ramverk som ska följas för att bedöma om detta redan är ordnat.