vem måste bekräfta svaren hos oss innan de skickas in

Vem som undertecknar internt är oberoende av vad Supplia gör

Det bestämmer kunden själv; det finns ingen lagstadgad funktionskrav som säger att direktören, KAM-koordinatorn eller compliance-funktionären måste underteckna. Supplia fyller i svaret från kedjedokumentet och visar det per fråga, men bekräftelsen — klicket på "ja, detta stämmer" — kommer alltid från någon hos kunden. Vi loggar inte in i mottagarens portal och lämnar inte in något på uppdrag av företaget; vem som gör det internt och vem som har teckningsbehörighet för det är en intern överenskommelse, inte något som följer av en norm eller riktlinje.

I praktiken hänger valet samman med frågorna i listan. Vid en NIS2-frågolista om de tio åtgärderna i artikel 21 stycke 2 ligger kunskapen om innehållet ofta hos den som ISO/IEC 27001-policy hanterar; vid en CSRD- eller VSME-frågolista ligger den ofta hos den som tillhandahåller siffror om anställda och omsättning. Vem som till slut sätter sin underskrift — ofta ändå ledningen, eftersom den representerar företaget externt — bestämmer kunden själv, oberoende av vem som har granskat svaren innehållsmässigt.

Där detta följer respektive inte följer av en norm

Ingen av de angivna källorna föreskriver en intern godkännanderoll. Handelsregisterlagens 2007 fastställer vilka uppgifter om ett företag som är registrerade — tänk på registrerad firma och det registreringsnummer — men säger ingenting om vem som får godkänna kundens frågolittor. Direktiv (EU) 2022/2555 (NIS2), artikel 21 stycke 2, förpliktar organisationer att vidta de tio nämnda säkerhetskontroller, men lämnar fördelningen av ansvar internt till organisationen själv. Även EFRAG VSME-standarden och ISO/IEC 27001 Annex A beskriver vad som måste påvisas, inte vem inom företaget som måste bekräfta det. Det valet är därför alltid en intern policy, inte en skyldighet enligt någon av dessa källor.