Hvorfor kræver dine kunder pludselig en ISO 27001-certificering?

Annonce – sponsoreret indhold.

ISO 27001 krav fra kunder dukker op, fordi store og offentlige indkøbere er blevet ansvarlige for, hvordan deres leverandører håndterer data, og fordi en lille leverandør kan være den nemmeste vej ind til en stor kunde. Det betyder ikke automatisk, at du som indretningsarkitekt, møbeldesigner, galleri eller webshop skal certificeres. Det afhænger af, hvilke oplysninger og systemer du har adgang til hos kunden, og hvor kravet står. Ofte kan du starte med at dokumentere, hvor du står i dag, uden at bygge en it-afdeling op.

ISO 27001 krav fra kunder: Hvad ligger bag, og hvorfor lige nu?

Kravet er ikke kommet ud af den blå luft. Flere ting trækker i samme retning, og de rammer især virksomheder, der leverer til større organisationer.

• NIS2 og leverandørkæden: EU’s NIS2-direktiv er i Danmark gennemført via cybersikkerhedsloven. Det stiller krav til en række virksomheder og organisationer om risikostyring og sikkerhed, herunder i forhold til leverandører. Er din kunde omfattet, flytter den ansvaret videre ned til dig i form af kontraktkrav.
• GDPR: Kunder, der behandler personoplysninger, skal kunne vise, at databehandlere har passende sikkerhed. Det gælder fx et boligselskab, der deler beboerlister med en rådgiver eller en håndværker.
• Angreb via de svageste led: Angribere går efter mindre leverandører med adgang til større kunders mailkorrespondance, tegninger, fakturaoplysninger eller delte mapper. Indkøbere kender det mønster og spørger derfor ind til det.
• Standardiserede indkøbsprocesser: Kommuner, hotelkæder og bygherrer har ofte faste leverandørvurderinger. En standard som ISO 27001 er en let måde at sammenligne leverandører på, selv om den er skrevet til langt større organisationer end din.

Den enkelte indkøber vil typisk ikke genopfinde sikkerhedskrav, men bruge en anerkendt international standard som målestok. Derfor lyder kravet ens, uanset om du leverer kunstværker til en hotellobby eller skitser til en kommunal renovering.

Hvad sker der, når kravet lander i din indbakke?

Det ser forskelligt ud, men tre situationer går igen:

• Udbud til en kommune: Udbudsmaterialet indeholder et krav om dokumenteret informationssikkerhed, eventuelt “ISO 27001 eller tilsvarende”. Her er det afgørende at læse, om det er et minimumskrav, et mindstekrav til tilbudsgivere eller blot et konkurrenceparameter.
• Samarbejdsaftale med en bygherre: Du modtager et leverandørskema med spørgsmål om adgangsstyring, backup, håndtering af tegninger og hændelser. Certifikat nævnes måske slet ikke, men du skal kunne svare dokumenteret.
• Kæde med skærpede leverandørkrav: En hotelkæde eller detailkæde sender nye vilkår ud til alle leverandører, ofte med en frist.

Første skridt er ikke at love noget. Bed om at få præciseret, om der kræves et certifikat, en erklæring eller blot dokumentation for visse kontroller. Når du kender kravets reelle omfang, er en ISO 27001 foranalyse den naturlige måde at få overblik over dit nuværende niveau og de væsentligste mangler, før du beslutter, om en egentlig certificeringsproces giver mening.

Mange tror, at ISO 27001 er en liste af tekniske krav til it. Standarden handler i højere grad om et ledelsessystem for informationssikkerhed: at du har styr på, hvilke informationer du håndterer, hvilke risici der er, hvem der har ansvar, og hvordan du løbende forbedrer. Det er netop derfor, en lille virksomhed godt kan leve op til den, hvis arbejdet tilpasses størrelsen.

Gælder kravet din virksomhed, og hvor strengt?

Ikke alle kundekrav kræver et certifikat. Spørg dig selv og din kunde om følgende:

• Hvilke oplysninger håndterer du for kunden? Tegninger af bygninger, adgangsforhold, beboer- eller gæstedata, priser og kontrakter er mere følsomt end et almindeligt produktkatalog.
• Har du adgang til kundens systemer? Login til projektportaler, delte drev eller bookingsystemer hæver sikkerhedsniveauet.
• Behandler du personoplysninger? En webshop med kundedata og betalinger har andre forpligtelser end en designer, der sender PDF’er.
• Hvad står der præcist i kravet? “ISO 27001-certificeret”, “efterlever ISO 27001” og “tilsvarende niveau” er tre forskellige ting. Det første kræver en certificering ved et akkrediteret certificeringsorgan. De to sidste kan ofte dokumenteres på anden vis.

Et typisk fejlskud er at antage, at man skal “have hele pakken”, fordi kunden nævner standarden. Et andet er det modsatte: at svare ja i et skema, uden at man kan dokumentere det. Det kan senere blive et kontraktligt problem, hvis der opstår en hændelse.

Hvad afdækker en foranalyse typisk?

En foranalyse, også kaldet en GAP-analyse, sammenholder din nuværende praksis med kravene i ISO 27001. Hos Nesp.ONE, som tilbyder forløbet, består den af disse elementer:

• Workshop og gennemgang af eksisterende politikker, processer, kontroller og dokumentation. Hvad har du allerede, og hvad mangler?
• Kortlægning af risici: Hvilke informationsaktiver er de vigtigste, fx kundedata, designfiler, regnskab, og hvor er de mest udsatte?
• Rapport og gennemgang med en specialist, der forklarer resultaterne og besvarer spørgsmål.
• Prioriteret handlingsplan med konkrete anbefalinger og et årshjul, der viser, hvilke aktiviteter der skal gentages hen over året.

Resultatet er et beslutningsgrundlag. Du kan se, hvilke indsatser der skaber mest værdi, og hvor stort et arbejde det reelt er at nå kundens niveau. Prisen for en foranalyse starter fra 10.000 DKK hos Nesp.ONE, og man kan starte med en uforpligtende samtale. Det er en begrænset investering sammenlignet med at gå i gang med en certificering uden at vide, hvor man står.

Hvad ser man ofte i små kreative virksomheder?

Uden at gå ud over hvad en analyse konkret viser, er det typiske mangler af organisatorisk karakter: ingen skriftlig politik, uklare regler for, hvem der må se hvad i delte mapper, ingen fast procedure for at lukke adgang, når en freelancer afslutter et projekt, og ingen plan for, hvad man gør ved et datalæk eller en kompromitteret mailkonto. Det er ting, der kan rettes uden dyr teknik.

Sådan tager du første skridt uden at gå i panik

Kravet virker større, end det er, hvis man ikke har et overblik. Gå i den rækkefølge, der giver mest ro:

1. Læs kravet præcist. Notér ordlyden, fristen og hvad der skal dokumenteres. Spørg kunden, hvis det er uklart.
2. Kortlæg, hvad du håndterer. Lav en simpel oversigt over systemer, enheder, cloud-tjenester og de typer oplysninger, du opbevarer eller modtager fra kunder.
3. Tjek de basale forhold. To-faktor-login, opdaterede enheder, backup, adgangsstyring og sikker deling af filer er ofte det første, en kunde spørger til.
4. Få et professionelt overblik. Gennemgå situationen med en specialist, så du ikke selv skal tolke standarden.
5. Beslut niveau og tidsplan. Vælg mellem at dokumentere et tilsvarende niveau, gå efter certificering eller forhandle kravet i forhold til opgavens risiko.

Du behøver ikke ansætte en it-chef. Mange små virksomheder kan klare sig med en ansvarlig person internt, klare procedurer og ekstern rådgivning ved behov. Hvis du er i tvivl om, hvordan kravene hænger sammen med GDPR eller NIS2, kan du finde vejledning hos Center for Cybersikkerhed, Datatilsynet og Erhvervsstyrelsen, og få individuel juridisk rådgivning, hvis kontrakten indeholder erstatningsansvar eller sanktioner.

Hvornår giver certificering mening?

En certificering giver mest værdi, hvis kravet er eksplicit og tilbagevendende, fx hvis flere store kunder eller udbud kræver det. Den giver et dokument, du kan vise frem, men også en forpligtelse: certifikatet gælder typisk tre år, og undervejs er der løbende opfølgning fra certificeringsorganet. Det kræver, at sikkerhedsarbejdet faktisk holdes i live.

Hvis kravet kun optræder i ét enkelt tilbud, kan det være mere fornuftigt at dokumentere et solidt niveau og forhandle omfanget. Det vigtigste er, at du træffer beslutningen på et oplyst grundlag, frem for at lade en frist i et udbud bestemme, hvor meget du bruger.

Kundekrav om informationssikkerhed er kommet for at blive, og de rammer især dem, der leverer til kommuner, bygherrer og kæder. Med et klart overblik, en realistisk handlingsplan og de rigtige spørgsmål til kunden bliver kravet til at håndtere, og det kan ende med at blive en konkurrencefordel frem for en hindring.