vem är ansvarig för att fylla i kundenenkäter om säkerhet

Ansvaret ligger på rollen, inte på avdelningen

Det finns ingen lagstadgad vägledning om vem i företaget som fyller i säkerhetsfrågelistan — det är intern policy, ingen skyldighet från någon förordning. I praktiken ligger det hos den som kan underbygga svaret: ofta IT-chefen eller säkerhetschefen för de tekniska åtgärderna, och HR eller ledning för policy och medvetenhet. Vid ISO 27001-certifiering är detta vanligtvis redan fastställt i rollfördelningen kring informationssäkerhetsledningssystemet, och då är frågelistan en fråga om att konsultera det systemet, inte om att ta reda på det på nytt.

Där det ofta går fel är inte frågan om vem som fyller i, utan frågan om vem som får bekräfta. Ett tekniskt svar kan vara korrekt, men om den person som matar in det inte har insyn i vad som får delas med en extern part, läcker information ut som inte hör dit. Det är en anledning att se ifyllningen och frigivningen som två separata steg: det första är faktamässigt, det andra är en bedömning av sekretess. Samma uppdelning gäller till exempel för frågan om företaget har en kontinuitetsplan — även där är svaret ofta känt, men inte alltid avsett att delas i detalj.

Vad frågelistan innehållsmässigt testar

De tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) ger en bra överblick över de kategorier som återkommer i kundfrågelistor: riskanalys, incidenthantering, affärskontinuitet, leverantörsäkerhet, åtkomstpolicy och liknande. Den som tillämpar ISO/IEC 27001 känner igen samma ämnen i kontrollåtgärderna i bilaga A — det gör standarden till ett praktiskt internt referensverk, även om själva certifikatet inte visas för kunden. För frågan eller företaget är ISO 9001-certifierat gäller samma logik: det handlar om en separat norm, men frågan om vem som känner till och kontrollerar svaret ligger organisatoriskt ofta hos samma person.