Svara på kundens säkerhetsformulär som litet företag

Det första säkerhetsformuläret kommer med den första kunden som är stor nog att ha en inköpsfunktion: 80 till 300 frågor i ett kalkylblad, två veckors frist och ett avtal som väntar på svaren. För ett företag med tio anställda kan det äta upp en grundares vecka. Den här guiden visar hur ni svarar ordentligt en gång, så att det andra och det tionde formuläret tar en eftermiddag: bygg underlaget, återanvänd det, lova aldrig det ni inte kan visa och namnge vem som godkänner.

Varför de frågar

Er kund gör det dess egna regelverk kräver. Enligt GDPR artikel 28.1 får en personuppgiftsansvarig bara använda biträden som ger “tillräckliga garantier”, och artikel 5.2 kräver att den kan visa att den kontrollerade. Enligt NIS2 artikel 21.2 d ska verksamheter som omfattas hantera säkerheten i leveranskedjan, inklusive förhållandet till varje direkt leverantör, och artikel 21.3 säger att de ska beakta “den övergripande kvaliteten på produkter och cybersäkerhetspraxis hos sina leverantörer”. Finansiella kunder lägger till DORA: artiklarna 28–30 i förordning (EU) 2022/2554 kräver att de bedömer varje tredjepartsleverantör av IKT-tjänster innan avtal och skriver in särskilda bestämmelser i avtalet. Kunder som använder AI-system har artikel 26 i EU AI Act att tänka på och kommer att fråga om era. Formuläret är deras bevismaterial; era svar blir en del av det, och därför väger innehållet tyngre än hastigheten.

Bygg underlaget en gång

De flesta formulär — CSA:s CAIQ, Shared Assessments SIG, kundens eget kalkylblad — frågar efter samma fyrtio fakta med olika ord. Skriv ner dem en gång, där teamet hittar dem, med datum och källa för var och en:

• Företag och roller. Juridisk person; vem som äger säkerhet och dataskydd; om ni har ett dataskyddsombud och varför eller varför inte (artikel 37).
• Hosting och plats. Var produktion och säkerhetskopior körs, i vilket land, hos vilken leverantör; om något lämnar EU och EES och med vilken mekanism.
• Underbiträden. Listan med land och ändamål — se guiden om underbiträden. Era underbiträden är era leverantörer; håll dem i ett register så att formulärsvaret och ert register enligt artikel 30 inte kan glida isär.
• Åtkomstkontroll. MFA för personal, rollbaserad åtkomst, rutiner vid anställning och avslut, hur många som kommer åt produktion.
• Kryptering. Under överföring och i vila, vilka algoritmer, vem som håller nycklarna.
• Loggning, sårbarhetshantering, incidenthantering. Vad som loggas och hur länge; skanning och patchtakt; senaste penetrationstest; rutinen och den incidentfrist ni ger kunder.
• Kontinuitet. Frekvens och lagringstid för säkerhetskopior, senaste återställningstest, RTO och RPO.
• Utveckling. Kodgranskning, separerade miljöer, hantering av hemligheter.
• Certifieringar och granskningar. Vilka ni har, vilka ni inte har och vad ni kan visa i stället.
• De registrerades rättigheter och portabilitet. Hur ni stödjer radering och export, inklusive dataförordningens export för företagskunder.
• AI. Vilka funktioner som använder AI, vilken leverantör, var inferensen körs, om kunddata tränar något, hur utdata märks.

Varje fakta bär en källa: policyn, konfigurationen, avtalet, rapporten. Ett svar ni inte kan spåra till en källa är ett ni får ta fram igen nästa gång och inte kan försvara om någon frågar.

Återanvänd det

Spara varje svar ni skickat, med frågan det besvarade, datumet och godkännaren. När nästa formulär kommer, matcha frågorna först mot svarsbiblioteket, sedan mot underlaget, och skriv ny text bara för det som verkligen är nytt. Två regler håller biblioteket pålitligt. Datera om vid återanvändning: ett svar godkänt i mars beskriver mars, och innan ni skickar det i september bekräftar någon att det fortfarande stämmer — bekräftelsen är det ni antecknar. Svara på frågan som ställts: “Krypterar ni data i vila?” får ett ja och algoritmen, inte ett stycke om säkerhetskultur. Granskarna poängsätter hundratals; de raka svaren går igenom.

Vad ni aldrig får lova

Ett formulär är en utfästelse till en kund. Att överdriva i det är värre än att erkänna en lucka, för en lucka kan täppas till medan en överdrift blir ett avtalsproblem. Skriv aldrig:

• En certifiering ni inte har. “I linje med ISO 27001” är inte certifierad. Namnge kontrollerna ni tillämpar och erbjud beviset.
• Ett absolut påstående. “Vi har aldrig haft en säkerhetsincident” eller “våra system kan inte intrångas”. Säg vad ni upptäcker, hur ni agerar och hur ni informerar.
• En plats ni inte kan gå i god för. “All data stannar i EU” är sant bara om varje underbiträdes behandling gör det. Kontrollera listan innan ni skriver det.
• Återställningstal ni inte testat. En RTO på fyra timmar är ett testresultat, inte en ambition.
• Åtaganden som hör hemma i ett avtal. Obegränsat ansvar, skadeslöshet, granskning på begäran, en anmälningsfrist kortare än biträdesavtalets. Hänvisa till avtalet; formuläret är inte där villkor sätts.
• Något om en leverantör ni inte läst. Är hostingleverantörens säkerhetssida källan, citera den och namnge den.

Där det ärliga svaret är “nej” eller “inte ännu”, säg det, med åtgärden och en daterad plan. Inköpsavdelningar avvisar vaghet långt oftare än en dokumenterad lucka.

Vem godkänner

Varje svar som lämnar företaget godkänns av en namngiven person med befogenhet att göra utfästelsen — en grundare, teknikchefen, den som äger säkerheten. Att ta fram utkast kan vara vems jobb som helst, eller ett verktygs; att godkänna kan det inte. Anteckna godkännare och datum på varje svar, spara den slutliga filen ni skickade och behandla den som en version av ert underlag. Ändras en fakta efteråt — ett nytt underbiträde, en flyttad region — ändras underlaget, och ni vet vilka kunder som fått veta vad.

Så gör Maditon

Maditon behandlar ett formulär som ett dokument att besvara ur ett underlag, inte en blankett att skriva i. Ni laddar upp kundens fil — XLSX, DOCX, CSV eller PDF — och den behåller frågornas identifierare, avsnitt och ordning, och tar sedan fram utkast till svar på varje fråga den kan utifrån er efterlevnadsprofil, ert leverantörsregister, era system och tjänster och de svar ni godkänt tidigare, med källa för vart och ett. En fråga underlaget inte kan svara på markeras behöver input, gissas aldrig. Dokument ni markerat som privata används aldrig till utkast; arbetsytan berättar när en leverantör eller ett system ni förlitar er på har ett, så att ni kontrollerar det avtalet för hand. Ingenting lämnar huset förrän en namngiven användare godkänt det, fråga för fråga, och godkända svar exporteras i kundens egen filstruktur.

Läs Hur svarar jag på en kunds säkerhetsformulär med Maditon? och Vad är ett privat dokument i Maditon?, eller ladda upp formuläret som väntar i appen.