Svarene på et sikkerhedsspørgeskema bør samles hos én person, som ejer dem på virksomhedens vegne, og de bør godkendes af en i ledelsen, før de sendes. I virksomheder uden egen sikkerhedsfunktion er det ofte en ekstern CISO, der har den opgave. Svarene hentes ind fra IT-driften, leverandørerne og de ansvarlige for de enkelte områder, men de formuleres ét sted. Det sikrer, at to kunder ikke får forskellige svar på samme spørgsmål, og at ingen lover mere, end virksomheden kan holde. Et svar i et spørgeskema bliver ofte en del af aftalegrundlaget og skal derfor behandles som et løfte.
Hvorfor spørgeskemaerne kommer
Store kunder skal styre risikoen i deres egne forsyningskæder. For NIS2-omfattede kunder er forsyningskædesikkerhed et af de punkter, deres sikkerhedsforanstaltninger skal omfatte, og spørgeskemaet er et af de mest udbredte redskaber til det. Andre kunder spørger, fordi deres egne kunder, revisorer eller forsikringsselskaber kræver det. Uanset baggrunden ønsker kunden at vide, om det er forsvarligt at lade jer få adgang til deres data, systemer eller produktion.
Spørgeskemaerne varierer meget i længde og kvalitet. Nogle har ti spørgsmål, andre flere hundrede. Mange bygger på kendte rammer som ISO 27001 eller CIS Controls, og spørgsmålene går derfor ofte igen fra kunde til kunde.
Hvorfor én ejer
Når spørgeskemaet lander hos den sælger eller projektleder, der har kontakten til kunden, sendes det typisk videre til IT-leverandøren eller den mest tekniske medarbejder. Hver besvarer sin del, og resultatet sættes sammen under tidspres. Det giver tre problemer.
For det første kan svarene være mere positive end virkeligheden, fordi den, der svarer, gerne vil hjælpe salget. For det andet får forskellige kunder forskellige svar, afhængigt af hvem der svarede den dag. For det tredje er der ingen, der holder styr på, hvad virksomheden har lovet, og det bliver først synligt, når en kunde følger op.
En fast ejer løser alle tre. Ejeren kender de tidligere svar, ved hvad der kan dokumenteres, og har mandat til at sige, at et krav ikke er opfyldt endnu. Hvordan kundekrav håndteres mere bredt, er beskrevet under når kunderne stiller sikkerhedskrav.
Arbejdsgangen fra modtagelse til afsendelse
En enkel gang, der passer de fleste:
- Modtag og registrér. Skemaet sendes til ejeren med kundens frist og kontaktperson.
- Genbrug. Ejeren finder svar fra tidligere besvarelser og fra den fælles dokumentation.
- Indhent. Spørgsmål, der ikke er besvaret før, sendes til de rette personer internt eller hos leverandører.
- Formulér. Ejeren skriver svarene, så de er præcise og ikke lover mere, end der kan dokumenteres.
- Godkend. En i ledelsen godkender svarene, især hvor der er forbehold eller afvigelser.
- Arkivér. Besvarelsen gemmes med dato og version, så den kan findes frem igen.
Trin 2 bliver lettere for hver gang. Med tiden bliver det en fælles samling af svar og dokumenter, som er beskrevet i artiklen om fælles dokumentation til flere kunder.
Når svaret er nej eller ikke endnu
Det er fristende at svare ja til alt. Et ærligt svar med en plan er dog bedre end et ja, der ikke holder. Kunden har som regel mere brug for at kende de huller, der findes, og hvornår de lukkes, end for et skema uden en eneste afvigelse. Skriv, hvad der er på plads i dag, hvad der mangler, og hvornår det forventes at være klar. Ledelsen skal kende og stå inde for de datoer, der gives.
Tag NIS2-underleverandøren, der leverer vedligeholdelse til et forsyningsselskab. Kunden spørger, om alle fjernadgange er beskyttet med totrinsbekræftelse. Svaret er ja for medarbejderne, men en ældre servicekonto mangler. Det korrekte svar beskriver begge dele og giver en dato for, hvornår servicekontoen er lagt om. Risikoen ved den tid, der går, accepteres af ledelsen efter reglerne i hvem må acceptere en risiko?.
Spørgsmål om test
Mange spørgeskemaer spørger til penetrationstest, sårbarhedsscanning og hvordan fund håndteres. Det er en del af kundens krav, som ofte følges op med ønske om dokumentation. Hvordan testkrav fra kunder kan besvares og dokumenteres, er gennemgået på nis2-pentest.dk under NIS2-krav fra kunden til leverandøren. Ejeren af spørgeskemaet bør kende den dokumentation, så svarene om test passer med det, der rent faktisk er udført.
Når kunden følger op
Mange kunder vender tilbage til spørgeskemaet, enten ved den næste årlige gennemgang eller efter en hændelse hos jer. Så er det en fordel at kunne finde det tidligere svar frem og vise, hvad der er sket siden. Har I lovet en dato for et tiltag, bør kunden have besked, når det er gennemført, eller hvis datoen skrider. Det opbygger tillid og mindsker risikoen for, at kunden selv opdager afvigelsen. Overblikket over løfter kan ligge sammen med den øvrige plan for sikkerhedsarbejdet, så tiltag, der er lovet kunder, får den prioritet, de kræver. Ledelsen bør se listen over åbne løfter som en del af den faste rapportering.
Det skal I lade være med
- At lade sælgeren besvare tekniske spørgsmål · svaret skal være korrekt, også når det ikke hjælper salget den dag.
- At sende spørgeskemaet direkte til IT-leverandøren · leverandøren svarer for sin egen del og kender ikke jeres samlede forhold.
- At svare ja med en tanke om at ordne det senere · kunden kan bygge sin egen risikovurdering på svaret.
- At glemme, hvad I har svaret · uden arkiv kan I ikke vise, hvad der blev lovet, og hvornår.
- At svare på spørgsmål, I ikke forstår · spørg kunden, hvad der menes, før I svarer.
Det skal I kræve af den eksterne
- ☐ Ejerskab til besvarelsen fra modtagelse til arkivering.
- ☐ Ensartede svar på tværs af kunder, bygget på en fælles samling.
- ☐ Tydelig markering af forbehold og afvigelser, med plan og dato.
- ☐ Godkendelse fra ledelsen, før besvarelsen sendes.
- ☐ Et overblik over, hvad der er lovet hvilke kunder, og hvornår løfterne skal være indfriet.
Næste gang et skema lander, så udpeg ejeren med det samme, og gem besvarelsen, når den er sendt. Det er begyndelsen på den samling, der gør det næste skema hurtigere. Mangler I en, der kan påtage sig ejerskabet, er CISO as a Service en mulighed. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, nr. 4, om forsyningskædesikkerhed som en del af de omfattede virksomheders foranstaltninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISO 27001: skal en mindre virksomhed certificeres? · D-mærket som dokumentation over for kunder
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
