de frågar vem som har åtkomst till deras data

Åtkomstpolicy, inte en namnlista

Kunden vill här vanligtvis inte veta vilken enskild person som loggar in, utan om det finns ett system som reglerar vem som får tillgång till vad. Det faller under åtkomsthantering: vem som har tillgång till vilka system och data, baserat på vilken roll, och hur det tilldelas och återkallas. Svaret består alltså av två delar: policyn (hur åtkomst tilldelas, granskas, återkallas vid uppsägning) och praktiken (arbetar man med rollbaserade rättigheter, minsta behörighet, periodisk kontroll av vem som fortfarande har åtkomst).

Om det inte finns ett separat åtkomstpolicy-dokument men praktiken är ordnad — till exempel roller i ett system, en fastställd process vid anställning och avslutande — är det ofta tillräckligt för att svara "ja", förutsatt att det är verkligen verifierbart. Om både saknas, är "nej" det ärliga svaret; att föreslå en fråga härom som "ja" utan att det finns en källa i kedjekatalogen sker inte. Närliggande frågor på samma lista handlar ofta om flerfaktorsautentisering för företagssystem och om policy för riskanalys och säkerhet för informationssystem — dessa två hör innehållsmässigt ihop, eftersom åtkomst vanligtvis är en av de kontrollåtgärder som följer från riskanalysen.

Kan härledas till artikel 21 punkt 2 och Bilaga A

Åtkomsthantering är en av de tio åtgärder i artikel 21 stycke 2 i NIS2-direktivet (Europaparlamentets och rådets direktiv (EU) 2022/2555): det nämner uttryckligen policy för åtkomstkontroll och hantering av företagstillgångar som en obligatorisk del av riskhanteringen. I ISO/IEC 27001 återfinns detta i kontrollåtgärderna i Annex A, under kategorin åtkomstkontroll. Kunder som själva kommer att omfattas av cyberförsvarslagen — den nederländska genomförandet av NIS2, som träder i kraft den 15 augusti 2026 — ställer därför denna fråga alltmer standardmässigt till sina leverantörer, även om de själva ännu inte har förklarats som enhet enligt direktivet.