Det misstag som förekommer oftast
Det vanligaste misstaget när man fyller i en cybersäkerhetsfrågelista är inte att du fyller i något fel, utan att du fyller i något som du inte längre kan bevisa. Ett svar som "vi gör säkerhetskopior" eller "lösenordspolicy har implementerats" skrivs ofta från minnet, medan köparen egentligen frågar efter den aktuella situationen: gäller åtgärden fortfarande nu, och finns det ett dokument som bekräftar det. Skillnaden mellan vad du tror att du gör och vad du kan bevisa är kärnan i nästan varje avslag.
Lösningen ligger inte i bättre formulering, utan i en annan ordning: först få dina bevis i ordning, sedan svara. Den som arbetar baklänges fyller i baserat på minnet och riskerar att svaret inte längre överensstämmer med verkligheten.
Varför detta går fel oftare än du tror
En cybersäkerhetsfrågelista kommer sällan ensam. En bank skickar ett format, en stor kund skickar ett annat format, och en försäkrare ställer igen andra frågor — alla om ungefär samma ämnen. Tillsynsmyndigheter och branschorganisationer hänvisar regelbundet till de tio åtgärder som nämns i NIS2-direktivet, såsom åtkomstkontroll, incidentberedskap och säkerhet i leverantörskedjan. Den som inte tar dessa tio ämnen som fast utgångspunkt besvarar varje lista från början igen, och det är där inkonsistenser uppstår.
Misstag 1: samma svar, bara omformulerat på olika sätt
Eftersom varje portal använder sitt eget format omformuleras samma faktum ofta något olika. I en lista skriver du att åtkomst "är begränsad till behöriga medarbetare", i en annan att det "finns en rollmodell". Båda kan vara sanna, men om en köpare lägger svaren bredvid varandra — och det händer allt oftare, även automatiskt — märks skillnaderna. Inte för att något är fel, utan för att det ser inkonsistent ut.
Misstag 2: en åtgärd på papper, inte i praktiken
Ett policydokument som utarbetades för tre år sedan och aldrig uppdaterades är inte ett bevis för att en åtgärd fortfarande tillämpas. Tillsynsmyndigheter och köpare ser inte bara på dokumentets existens, utan på datumet och på vem som fastställde det. Att fylla i en frågelista baserat på ett föråldrat dokument är det andra vanligaste misstaget.
Misstag 3: utgångna bevis som ingen ersätter
Certifikat, pentestrapporer och försäkringsbevis har en giltighetstid. Den som inte håller dessa centralt märker ofta först när man fyller i en ny lista att ett dokument har utgått. Det tar tid, och ibland måste hela inlämningen vänta tills ett nytt dokument kommer in. läs per ämne vilka bevis som vanligtvis efterfrågas och när de i genomsnitt utgår.
Misstag 4: omfattningen fylld in för bred eller för snäv
En fråga om "er organisation" besvaras ibland som om det gällde en enda filial, medan köparen menar hela den juridiska personen — eller tvärtom. Detta verkar vara en detalj, men avgör om svaret är innehållsmässigt korrekt. Vid osäkerhet om en frågas omfattning är det lämpligt att kontrollera definitionen i själva frågelistan, eller att ställa frågan direkt till köparen.
Hur du undviker detta i praktiken
De flesta av dessa misstag uppstår för att samma information hålls på flera olika ställen: i postlådor, i Excel-filer, i ett enda medarbetares huvud. En central översikt över åtgärder och bevis, med ett tydligt senaste kontrolldatum per dokument, förhindrar det mesta av ovanstående misstag. Den här översikten behöver inte byggas upp på nytt för varje lista; den kompletteras så snart något ändras.
Supplia.eu är byggt för att stödja just den överblicken: systemet känner igen frågorna i en uppladdad lista och fyller på dem från er kedjedossier, varefter ni själva bekräftar per svar om det stämmer. Vi granskar eller förklarar ingenting — den innehållsmässiga kontrollen och indieningen till er klients portal ligger kvar hos er. Med några frågor ser ni snabbt var er dossier står för tillfället, och på sidan om vår arbetssätt står exakt var informationen kommer från.
Vad detta inte ersätter
Den här artikeln beskriver allmänna mönster, ingen granskning av era specifika svar eller dossier. Huruvida en konkret åtgärd uppfyller vad en bank, försäkringsgivare eller stor kund exakt kräver beror på den partens egen frågeställning. Vid tvivel om en specifik fråga är det lämpligt att lägga fram denna för mottagaren, eller vid juridiska frågor rådfråga en jurist. På sidan med vanliga frågor finns en överblick över vad vi gör och inte gör.
Vill ni veta om ert dossier redan förhindrar de vanligaste felen? Gör den kostnadsfria snabbscanningen eller bläddra genom ämnena i kunskapsbanken — båda är fritt tillgängliga utan förpliktelse.