Annonce – sponsoreret indhold.
ISO 27001 krav fra kunder kommer typisk som en enkelt linje i et udbudsmateriale, en leverandørkontrakt eller et sikkerhedsspørgeskema: “Leverandøren skal være certificeret efter ISO 27001.” Det rigtige første skridt er hverken at gå i panik eller at begynde at skrive politikker. Du skal først afklare, hvad kunden præcis kræver, og dernæst finde ud af, hvor din virksomhed står i forhold til standarden. Derefter kan du prioritere indsatsen og give kunden en ærlig tidsplan.
- Afklar først, om kunden kræver certificering, “overensstemmelse med” ISO 27001 eller blot dokumenteret sikkerhed. Det ændrer opgavens størrelse markant.
- Start med en gapanalyse, der viser forskellen mellem jeres nuværende arbejde med informationssikkerhed og standardens krav.
- Prioritér efter risiko og kundens deadline, ikke efter hvad der er nemmest at skrive ned.
- Giv kunden en realistisk tidsplan med konkrete milepæle. Det er bedre end et løfte, du ikke kan holde.
Derfor lander ISO 27001 krav fra kunder hos dig
Kravet kommer sjældent fra en kunde, der vil genere dig. Oftest er kunden selv blevet presset, og presset giver sig videre til leverandørerne.
NIS2-effekten i leverandørkæden
NIS2-direktivet stiller krav til cybersikkerhed hos en lang række virksomheder i samfundskritiske og vigtige sektorer, og det er implementeret i dansk lovgivning. Direktivet omfatter også sikkerhed i forsyningskæden. Det betyder, at en omfattet kunde skal kunne vise, at den har styr på sine leverandører. Selv om din virksomhed ikke selv er omfattet, bliver du alligevel målt, fordi kunden har brug for dokumentation. ISO 27001 er en anerkendt og velkendt måde at levere den dokumentation på. Center for Cybersikkerhed og Digitaliseringsstyrelsen er gode steder at orientere sig om selve reglerne.
Offentlige og private udbud
I udbud er ISO 27001 ofte et mindstekrav eller et konkurrenceparameter. Hvis du leverer til kommuner, regioner, styrelser eller store private virksomheder, kan du opleve, at et tilbud bliver afvist, fordi dokumentationen mangler, selv om dit produkt og din pris er konkurrencedygtige.
Leverandørstyring og persondata
Mange større virksomheder har formaliseret deres leverandørstyring. Nye leverandører får et sikkerhedsspørgeskema, og eksisterende leverandører bliver revurderet. Hvis du behandler kundens data, driver en webshop for dem, leverer integrationer eller har adgang til deres systemer, ligger du højt på listen. Det samme gælder, hvis du er databehandler efter GDPR.
Læs kravet grundigt, før du reagerer
Formuleringen i kontrakten afgør, hvor stor opgaven er. Typiske varianter er:
- Krav om certificering: En akkrediteret certificeringsvirksomhed skal have auditeret jeres ledelsessystem og udstedt et certifikat. I Danmark er DANAK den nationale akkrediteringsmyndighed.
- Krav om “overensstemmelse” eller “i henhold til” ISO 27001: Kunden vil have, at I arbejder efter standarden, men ikke nødvendigvis, at I er certificeret.
- Krav om dokumenteret informationssikkerhed: Her kan et sikkerhedsspørgeskema, en revisorerklæring eller en gennemgang af jeres kontroller være nok.
Spørg kunden direkte: Er det et krav ved kontraktunderskrift, eller kan certificeringen opnås inden for en aftalt periode? Svaret ændrer tidsplanen og dermed hele din tilgang. Kunder er ofte mere fleksible, end formuleringen i udbudsmaterialet antyder, især hvis du kan vise en troværdig plan.
Første skridt: Find ud af, hvor I faktisk står
De fleste små og mellemstore virksomheder har mere på plads, end de tror. Der er adgangsstyring, backup, en persondatapolitik og måske en nødplan. Problemet er, at det sjældent er samlet, dokumenteret og ledelsesforankret på den måde, ISO 27001 forudsætter. Standarden handler nemlig ikke kun om teknik, men om et ledelsessystem for informationssikkerhed, hvor risici vurderes, ansvar placeres, kontroller følges op, og ledelsen tager stilling.
Derfor er første konkrete skridt en gapanalyse ISO 27001. Den sammenholder jeres nuværende politikker, processer, kontroller og dokumentation med standardens krav og viser, hvad der mangler. Du undgår at gætte, og du undgår at bruge måneder på at skrive dokumenter, der alligevel ikke løser det egentlige problem.
Hvad en god gapanalyse indeholder
- Gennemgang af eksisterende materiale: politikker, procedurer, aftaler med databehandlere, adgangsstyring, hændelseshåndtering og lignende.
- Kortlægning af informationsaktiver og risici: Hvilke data og systemer er forretningskritiske, og hvor er I mest sårbare?
- Vurdering af modenhed: Er tingene tilfældige, eller er de systematiske, dokumenterede og fulgt op?
- En prioriteret handlingsplan: konkrete aktiviteter, ikke blot en rapport med røde og grønne felter.
Nesp.ONE tilbyder for eksempel en foranalyse, der består af workshop, analyse, rapport, gennemgang, handlingsplan og et årshjul. Priserne starter fra 10.000 kr. Uanset hvem du vælger, så tjek, at en specialist gennemgår resultaterne med jer. En rapport, der blot lander i indbakken, hjælper sjældent en travl virksomhed videre.
Sådan forbereder du dig
Analysen bliver hurtigere og billigere, hvis du har styr på nogle basale ting på forhånd:
- Saml selve kundekravet og eventuelle bilag, så rådgiveren kan se præcis, hvad kunden beder om.
- Find eksisterende politikker, kontrakter med it-leverandører og dokumentation for kontroller.
- Udpeg en intern ansvarlig. Det behøver ikke være en it-specialist, men personen skal have mandat.
- Sørg for, at ledelsen deltager. ISO 27001 kræver ledelsens engagement, og analysen er det oplagte sted at skabe det.
Sådan prioriterer du indsatserne efter analysen
Efter gapanalysen står du typisk med en lang liste. Lad være med at starte oppefra. Brug i stedet tre filtre.
1. Hvad kræver kunden, og hvornår?
Er certificering en betingelse for kontrakten, eller et ønske på sigt? Læg kundens deadline ind som ramme, og arbejd baglæns derfra. Hvis kunden primært vil se, at I har styr på adgangsstyring og databehandling, kan de punkter komme først.
2. Hvad er den største risiko for forretningen?
Standarden er risikobaseret, og din prioritering bør være det også. Hvis jeres vigtigste aktiver er kundedata i en webshop, en ERP-integration eller en produktionsdatabase, bør de områder have mere opmærksomhed end et lokalt filarkiv uden følsomme oplysninger.
3. Hvad er fundamentet for resten?
Nogle opgaver er forudsætninger for andre. En typisk rækkefølge ser sådan ud:
- Ledelsesforankring og scope: Hvem, hvad og hvilke lokationer og systemer er omfattet? Et for bredt scope er en klassisk fejl, som gør opgaven unødigt tung.
- Risikovurdering: Den afgør, hvilke kontroller I har brug for, og danner grundlag for jeres anvendelseserklæring (Statement of Applicability).
- Kerneprocesser: adgangsstyring, leverandørstyring, backup og genetablering, hændelseshåndtering, ændringsstyring og awareness for medarbejdere.
- Dokumentation og ansvarsfordeling: politikker og procedurer, der afspejler virkeligheden, ikke bare skabeloner.
- Intern audit og ledelsens gennemgang: Begge dele kræves, før en ekstern audit giver mening.
Typiske fejl at undgå
- At downloade skabeloner og kalde det færdigt. Revisoren spørger ind til praksis. Står der noget i en politik, som ingen følger, bliver det en afvigelse.
- At lægge ansvaret hos it-afdelingen alene. Informationssikkerhed involverer HR, indkøb, ledelse og ofte kundeservice.
- At tage for meget med i scope. Start med det, kunden faktisk har brug for at se.
- At glemme driften efter certificeringen. Certifikatet kræver løbende opfølgning og periodiske audits. Planlæg derfor et årshjul fra begyndelsen.
Sådan taler du realistisk med kunden om tidsplanen
Mange leverandører siger ja til alt i første møde og fortryder det senere. En kunde, der får en ærlig og dokumenteret plan, mister ofte mindre tillid end en kunde, der bliver forsinket uden varsel.
Vent ikke med at kontakte kunden
Henvend dig tidligt, gerne med en kort bekræftelse af, at du har forstået kravet, og at du allerede arbejder på det. Bed om et møde med den person, der ejer leverandørstyringen eller sikkerhedskravet hos kunden. Det er oftest dér, forhandlingsrummet findes.
Del tidsplanen op i milepæle
Undgå en enkelt slutdato. Fremlæg i stedet en plan med etaper, som kunden kan følge:
- Gapanalyse gennemført og handlingsplan godkendt af ledelsen.
- Scope, risikovurdering og kerneprocesser på plads.
- Intern audit og ledelsens gennemgang gennemført.
- Ekstern audit hos en akkrediteret certificeringsvirksomhed.
Tidsforbruget afhænger af virksomhedens størrelse, modenhed og kapacitet. For mange små og mellemstore virksomheder tager det måneder snarere end uger, og det er bedre at sige det åbent end at love en hurtig løsning. Spørg også certificeringsvirksomheden om ventetider til audit, så du kan bygge dem ind i planen.
Tilbyd overgangsløsninger
Hvis certificeringen ikke kan nås inden kontraktstart, kan du foreslå noget, der bygger bro:
- udfyldt sikkerhedsspørgeskema og dokumentation for eksisterende kontroller
- gapanalysens resultater og handlingsplan som bevis på, at I arbejder målrettet
- en aftale om en frist for certificering, eventuelt med statusmøder undervejs
- aftalte midlertidige kontroller, hvis kunden har særlige bekymringer
Giv status, også når det går langsomt
En kort statusmail ved hver milepæl er nok. Skriv, hvad der er gjort, hvad der er næste skridt, og om der er risiko for forsinkelse. Kunden skal kunne dokumentere over for sin egen ledelse eller sine egne kunder, at leverandørkæden håndteres, og det hjælper kunden, at du leverer det materiale løbende.
Ofte stillede spørgsmål
Skal vi altid certificeres, hvis en kunde nævner ISO 27001?
Nej. Nogle kunder kræver certificering, andre vil blot se, at I arbejder efter standarden, eller at I kan dokumentere et tilsvarende sikkerhedsniveau. Spørg kunden, hvad kravet konkret indebærer, og hvilken dokumentation der accepteres, før I beslutter jer.
Kan en lille virksomhed overhovedet leve op til ISO 27001?
Ja. Standarden er skalerbar, og kravene skal stå i forhold til virksomhedens størrelse, risici og aktiver. En lille virksomhed har typisk et mindre scope og færre processer, men skal stadig kunne dokumentere sit ledelsessystem og sin risikovurdering.
Hvad er forskellen på en gapanalyse og en certificeringsaudit?
Gapanalysen er en intern eller rådgivende vurdering, der viser, hvor I mangler noget i forhold til standarden, og hvad I skal gøre ved det. Certificeringsauditten foretages af en uafhængig, akkrediteret certificeringsvirksomhed, der vurderer, om jeres ledelsessystem opfylder kravene, og som kan udstede certifikatet.
Hvem kan hjælpe os videre, hvis vi er i tvivl om juridiske krav som NIS2?
Brug myndighedernes egne vejledninger, blandt andet fra Center for Cybersikkerhed og Digitaliseringsstyrelsen, og få individuel rådgivning, hvis du er usikker på, om din virksomhed er omfattet, eller hvad en kontrakt forpligter dig til. En specialist i informationssikkerhed og en jurist kan hver især bidrage.
Ansvarsfraskrivelse: Denne artikel er tænkt som generel oplysning og kan ikke erstatte individuel professionel rådgivning. Kontakt altid en relevant fagperson før vigtige beslutninger.
