Sikkerhedsspørgeskemaet fra kunden: hvem i ledelsen står inde for svarene?

Et sikkerhedsspørgeskema fra en kunde bliver udfyldt af dem, der kender systemerne, men det er virksomheden, der svarer. Når kunden lægger svarene til grund for at indgå eller forny en aftale, er de ikke længere et internt arbejdspapir. Svaret på, hvem i ledelsen der skal stå inde for dem, hviler på et princip, som også findes i internationale rammer for styring af cybersikkerhed: ansvaret for cyberrisici ligger hos ledelsen og kan ikke lægges fra sig. Den praktiske konsekvens er, at en navngiven person i ledelsen godkender svarene, før de sendes. Teksten er ikke juridisk rådgivning.

Hvorfor svarene er ledelsens

Det amerikanske NIST skriver i sit rammeværk for cybersikkerhed, CSF 2.0, at organisationens ledelse er ansvarlig for cybersikkerhedsrisici og skal fremme en kultur, der er bevidst om risici og etisk. Et spørgeskema fra en kunde er et konkret sted, hvor det ansvar bliver synligt. Svarene beskriver, hvordan virksomheden passer på kundens data og leverancer, og kunden kan bygge sine egne beslutninger på dem.

Det betyder ikke, at direktøren selv skal udfylde skemaet. Det betyder, at ledelsen skal vide, hvad der svares, og have sikret sig, at det er rigtigt. → Ledelsens ansvar for IT-sikkerhed

Et kryds fortæller ikke alt

Standardiserede skemaer er bygget til at kunne sammenlignes. Cloud Security Alliance beskriver for eksempel sit skema CAIQ som en række ja/nej-spørgsmål, som en kunde kan stille en leverandør af cloudtjenester. Formatet er praktisk for den, der spørger, men det presser den, der svarer, til at forenkle.

Et ja kan dække over, at noget er indført på hovedsystemerne, men ikke alle steder. Et nej kan skjule, at der er en plan, som er godt i gang. Den, der står inde for svarene, bør derfor se efter tre ting:

Delvise svar · steder, hvor et ja kun gælder en del af virksomheden.
Gamle svar · svar, der bygger på en test eller gennemgang, som er blevet ældre, end kunden måske går ud fra.
Løfter · svar, der ikke beskriver et faktum, men lover noget fremadrettet, for eksempel at kunden får besked inden for en bestemt tid.

Løfterne kræver særlig omhu, fordi de binder virksomheden fremover. Brug skemaets kommentarfelter til at forklare, hvor svaret er mere nuanceret end et kryds. → Løfter om sikkerhed til kunderne

Fordel ansvaret efter, hvad der står på spil

Ikke alle skemaer kræver direktørens underskrift. Ledelsen kan fastlægge en enkel fordeling:

Standardsvar · svar, der allerede er godkendt og kun gentages, kan sendes af den, der ejer svarene, for eksempel IT-chefen eller den sikkerhedsansvarlige.
Nye eller ændrede svar · godkendes af den person i ledelsen, der ejer sikkerheden.
Løfter og bindende bekræftelser · godkendes af direktionen og bør ses af den, der ejer kundeaftalen.
Svar, der kan koste kunden · hvis et ærligt svar kan betyde, at en vigtig kunde siger nej, skal direktionen kende det, før det sendes.

Fordelingen bør skrives ned, så sælgere og IT ved, hvornår de skal gå videre med et skema. → Hvem i ledelsen skal eje sikkerhedstesten?

Det, den ansvarlige skal se før godkendelsen

Den person, der godkender svarene, behøver ikke forstå hver teknisk detalje. Men personen bør kunne svare ja til, at hvert svar bygger på noget, der kan findes frem: en rapport fra en sikkerhedstest, en status på rettelser, en bekræftelse fra driftsleverandøren eller en politik, der faktisk følges.

Hvis IT eller sælgeren ikke kan pege på grundlaget, er det et signal om at stoppe op. Det er bedre at give kunden et forsinket svar end et forkert. Hvis spørgsmålene handler om sikkerhedstest, bør det fremgå, hvad testen omfattede, og hvornår den blev lavet. → IT siger, at alt er i orden

Når kunden er stor, og svaret er ubehageligt

Presset er størst, når kunden er vigtig, og et ærligt svar kan koste ordren. Netop her er det vigtigt, at ledelsen tager beslutningen og ikke overlader den til den, der sidder med skemaet. Ledelsen kan vælge at svare ærligt og vedlægge en plan, at forhandle om kravet eller at sige nej til opgaven. Den kan ikke med god samvittighed vælge at lade et forkert ja stå.

Det hjælper at huske, at kunden også har en interesse i et ærligt svar. En kunde, der vurderer sine leverandører, skal bruge svarene til at vurdere sin egen risiko. Et svar, der viser sig at være forkert, når kunden selv bliver ramt eller får besøg af en revisor, kan skade relationen langt mere end et nej med en forklaring. Ledelsen kan derfor vælge at ringe til kunden og forklare situationen, før skemaet sendes. En samtale giver plads til at forklare, hvad der er på vej, og til at høre, hvilke af kravene kunden selv lægger mest vægt på. Svaret kan så skrives med den viden i baghovedet. → En vigtig kunde stiller krav, I ikke kan opfylde

For softwarehuse, hvor skemaerne handler om selve produktet, er udfyldningen beskrevet på pentestrapport.dk.

Et tænkt eksempel

En leverandør af lønadministration får et skema fra en ny kunde i den finansielle sektor. Skemaet er langt og slutter med en erklæring, som skal underskrives af en direktør.

IT-chefen udfylder det meste ud fra de godkendte standardsvar. Tre spørgsmål kræver nye svar, og ét af dem lover, at kunden får besked om sikkerhedshændelser inden for en kort frist. Den administrerende direktør gennemgår de fire punkter med IT-chefen og kundeansvarlig. Løftet om besked bliver ændret til en beskrivelse af virksomhedens faktiske procedure, og et svar om test bliver præciseret med dato og omfang. Først derefter skrives erklæringen under.

Det skal I lade være med

At lade sælgeren sende skemaet uden godkendelse · svarene er virksomhedens.
At skrive under på en erklæring uden at kende svarene · underskriften dækker hele skemaet.
At sætte kryds ved ja, når svaret kun gælder en del · brug kommentarfeltet.
At give løfter i et skema uden at kende følgerne · de kan binde virksomheden.
At lade presset fra en stor kunde afgøre svaret · den beslutning hører til direktionen.

Hvad kan og ikke kan konkluderes

En klar fordeling af, hvem der godkender hvad, giver ledelsen styr på de udsagn, virksomheden giver sine kunder. Det kan ikke konkluderes, hvilke juridiske følger et forkert svar kan få i en bestemt kundeaftale. Det afhænger af aftalen og af omstændighederne.

Tjekliste før skemaet sendes

☐ Er det klart, hvem i ledelsen der godkender skemaet?
☐ Bygger hvert svar på noget, der kan findes frem?
☐ Er delvise og gamle svar forklaret i kommentarfelterne?
☐ Er løfter og bindende bekræftelser set af direktionen?
☐ Er det svar, der sendes, gemt sammen med grundlaget?

Kilder

The Cybersecurity Framework (CSF) 2.0: GV.RR-01 om, at organisationens ledelse er ansvarlig for cybersikkerhedsrisici og fremmer en kultur, der er bevidst om risici og etisk.
Cloud Security Alliance, CAIQ: beskrivelsen af skemaet som en række ja/nej-spørgsmål, som en kunde kan stille en leverandør af cloudtjenester.

Senest gennemgået: oktober 2026.