Nogen hos jer gennemgik adgangsrettighederne i foråret. Kan I sige hvornår, hvem det var, og hvad de fandt? Der er forskel på at gøre noget og at kunne vise, at I gjorde det. Den forskel bliver tydelig ved et tilsyn.
Noget I kan vise
Myndigheden kan kræve jeres dokumentation udleveret. Ikke en mundtlig forklaring af, hvad I plejer at gøre. Noget I kan fremlægge.
“Bør” er ikke valgfrit
SAMSIK har udgivet en vejledning om, hvordan man lever op til lovens krav. Den er fuld af ordet “bør”. Det bliver let læst som valgfrit.
Men styrelsen skriver selv, at de tilsynsførende myndigheder vil forvente, at anbefalingerne er fulgt, eller at virksomheden ud fra en vurdering af sin risiko har taget dokumenteret stilling til sin risikohåndtering.
I har to veje. Følg anbefalingen. Eller skriv ned, hvorfor I gør noget andet, og hvad I baserer det på. Der er ikke en tredje vej, hvor I bare har tænkt over det.
En halv side kan være stærkere end en hel politik
Det lyder tungere, end det er. En fravigelse kan stå på en halv side: Her er anbefalingen. Sådan gør vi i stedet. Det er derfor. Og sådan dækker vi risikoen af på anden vis. Med dato, ansvarlig og begrundelse.
Den halve side kan være stærkere dokumentation end en anbefaling, I har fulgt uden at kunne forklare hvorfor.
Dokumentation er ikke orden i papirerne
Dokumentation er beviset for, at der blev truffet en beslutning, af en person, på et tidspunkt, på et grundlag.
Uden dato er det en påstand. Uden navn er det ingens ansvar. Uden begrundelse er det et gæt.
Dokumentationen er ikke kun til myndigheden. Den er jeres eget bevis på, at der blev truffet et valg. Og det arbejde, I faktisk har lavet, hjælper jer ikke ved et tilsyn, hvis ingen kan finde det.
Det er den mest ærgerlige måde at falde på. Ikke fordi sikkerheden er dårlig, men fordi arbejdet ligger i hovedet på en, der har ferie, eller i en mailtråd fra 2024.
Målet er ikke mest muligt papir
Målet er dokumentation, der viser jeres væsentlige vurderinger, beslutninger og kontroller. Ikke alt. Det væsentlige.
Tre ting at gøre nu
Vælg ét krav, I ved I lever op til. Prøv at fremskaffe beviset. Dato, navn, grundlag. Tag tid på det. Den tid er jeres reelle svar på, om dokumentationen er på plads.
Find de steder, hvor I bevidst gør noget andet end anbefalingen. Skriv en halv side om hvorfor. Det er den dokumentation, styrelsen selv peger på som gyldig.
Beslut hvor tingene ligger. Ét sted, som en stedfortræder kan finde uden at ringe til nogen. En fælles mappe virker. En gammel mailtråd er et dårligt arkiv.
En NIS2-audit kan vurdere, om jeres dokumentation holder ved et tilsyn, og identificere de steder, hvor arbejdet er gjort, men beviset mangler.
Hvis I skulle udlevere dokumentation for jeres sikkerhedsarbejde på fredag, hvor stor en del af den ville I skulle skrive fra bunden?
Har du brug for hjælp til at dokumentere jeres NIS2-compliance?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
