de frågar vem vår CISO är men vi har ingen med den titeln

Ingen CISO behövs, men väl en kontaktperson för säkerhet

Du kan vanligtvis fylla i "nej" här utan att det är en brist. Ingen av de tio åtgärdskategorierna i artikel 21 stycke 2 i NIS2-direktivet föreskriver en funktionstitel. Direktivet reglerar skyldigheter på organisationsnivå — styrning, riskhantering, incidenthantering — inte hur du fördelar detta internt eller vad rollen heter. En CISO ("Chief Information Security Officer") är ett sätt att implementera detta, särskilt i större organisationer, men inte ett krav. ISO/IEC 27001 fungerar på samma sätt: Annex A kräver tilldelade ansvar för informationssäkerhet, inte en specifik funktionstitel på lönelistor.

Det ditt företags kund egentligen vill veta är vem som är internt ansvarig och kan kontaktas vid en incident. I ett mindre företag är det ofta ägaren själv, IT-chefen eller någon som hanterar säkerhet vid sidan av en annan roll. Fyll i det som svar på den underliggande frågan: namn, titel och eventuellt hur man når denna person. Det ansluter också till vem som reagerar när ett säkerhetsinc ident uppstår — det är vanligtvis samma person eller samma team. Är du osäker på om ditt företags kund nöjer sig med "ingen CISO, men väl en ansvarig"? Bekräfta då inte detta svar blindt med "ja" — det är en bedömning som hör till inlämnaren, inte till ett automatiskt fyllt dossier.

Där detta framgår: artikel 21 stycke 2 och Annex A

Artikel 21 stycke 2 i NIS2-direktivet nämner tio åtgärdskategorier, bland annat riskhantering, incidenthantering och åtkomstreglering, men ingen rollbenämning. Den nederländska cybersäkerhetslag, som implementerar detta direktiv och träder i kraft den 15 augusti 2026, följer samma struktur. ISO/IEC 27001 Annex A kräver i avsnittet om organisation av informationssäkerhet tilldelade ansvar, inte en funktionstitel. Vill du kontrollera om ditt företag själv omfattas av NIS2-kraven, är det en separat fråga som är skild från denna — se till om organisationen som enhet omfattas av NIS2-direktivet.