Sikkerhedsspørgeskema fra kunder: sådan består I kravene

Hvorfor får vi overhovedet sikkerhedsspørgeskemaer?

Fordi jeres kunder er forpligtede til at stille kravene. NIS2-direktivet (Direktiv (EU) 2022/2555, i Danmark gennemført ved lov nr. 434 af 6. maj 2025, i kraft 1. juli 2025) pålægger væsentlige og vigtige enheder at styre sikkerhed i hele leverandørkæden.

Det betyder, at selv hvis I ikke selv er direkte omfattet, bliver I ramt gennem jeres kunder: en omfattet kunde skal kræve dokumentation, kontraktklausuler og løbende evidens fra sine leverandører, uanset leverandørens størrelse. Kaskaden gør den reelle målgruppe langt større end de direkte regulerede.

Presset er målbart: i en CyberSmart-undersøgelse blandt 670 ledere i 8 lande svarede kun 16 %, at deres organisation er fuldt NIS2-compliant — mens 42 % er blevet bedt om at bevise deres cybersikkerhedsniveau af partnere eller kunder, og 41 % af investorer (kilde: CyberSmart). Og regningen er konkret: ét sikkerhedsspørgeskema koster typisk 10–40 arbejdstimer — ca. 12.000–40.000 kr (USD 1.800–6.000) i intern tid pr. spørgeskema (branchetal fra questionnaire-automation-markedet, hvor værktøjer som Conveyor starter ved ca. 65.000 kr/år (USD 9.600)).

Hvad kræver NIS2 artikel 21 konkret af os som leverandør?

• Leverandørkæde-sikkerhed (art. 21(2)(d)): dokumentér identitet, dataadgang, hosting-region og en sikkerhedskontakt.
• Hændelseshåndtering: kunden har 24-timers varsling og 72-timers notifikation, så en kontraktlig 12-24 timers leverandør-til-kunde-SLA kræves ofte.
• Driftskontinuitet: kan tjenesten køre videre, og findes en exit-plan?
• Cyberhygiejne og uddannelse: dokumenteret sikkerhedstræning af personale, der rører kundens data.

NIS2-bøder op til 10 mio. € eller 2 % af global omsætning for væsentlige enheder.

Hvad har EU AI Act med spørgeskemaerne at gøre?

• Artikel 50 (transparens): AI, der interagerer med mennesker eller genererer indhold, skal oplyses/mærkes. Anvendelsesdato 2. august 2026.
• Artikel 4 (AI-kompetence): i kraft siden 2. februar 2025. Digital Omnibus (forordning (EU) 2026/1744, i kraft 27. juli 2026) blødgør ordlyden.
• Højrisiko (Annex III), fx AI i rekruttering: Digital Omnibus udskyder bindende standalone Annex III til 2. december 2027. Artikel 50-transparens gælder fra 2. august 2026.

Hvilke spørgeskemaer taler vi om?

SIG (Standardized Information Gathering), CAIQ (Consensus Assessment Initiative Questionnaire), kundens eget skema, og et stigende krav om et offentligt trust center til selvbetjening.

Sådan svarer I hurtigt uden at starte forfra hver gang

• Byg en genbrugelig svarbank koblet til den underliggende evidens.
• Saml evidens, der holder i en revision; et svar uden dokumentation er i praksis ikke bevisbart.
• Gør beviset verificerbart: kryptografisk signeret evidens med tydelig datering og navngivet menneskeligt sign-off fjerner tvivlen hurtigere end et regneark.

Sådan hjælper PowerQuant

PowerQuant leverer jeres compliance-evidens som en kryptografisk signeret pakke (Ed25519), hostet i EU, med navngivet menneskeligt sign-off, bygget til at lægge direkte ved et sikkerhedsspørgeskema eller vise i et trust center.

• Tag det gratis 2-minutters scope-tjek og se præcis hvilke krav der rammer jer.
• Spørgeskema-Svar (fast pris): en signeret readiness-rapport, I kan sende til kunden.

De første fem partnere får en gratis signeret readiness-pilot mod en kort udtalelse, vi må bruge på hjemmesiden.

Ofte stillede spørgsmål

Er vi omfattet af NIS2 som lille SaaS-leverandør? Måske ikke direkte, men leverer I til virksomheder i regulerede eller kritiske sektorer, rammer NIS2 jer via kundernes leverandørkrav, uanset størrelse.

Erstatter ISO 27001 eller SOC 2 spørgeskemaet? Det hjælper meget, men erstatter det sjældent helt. Kunder beder ofte om begge dele plus specifik evidens.

Gælder AI Act os, hvis vi kun bruger AI internt? Artikel 4 om AI-kompetence gælder allerede (siden 2. februar 2025) for organisationer, der bruger AI, også internt.

Vejledende overblik, ikke juridisk rådgivning. Datoer og beløb verificeret mod Reg. (EU) 2024/1689, Direktiv (EU) 2022/2555 og lov nr. 434 af 6. maj 2025. Digital Omnibus (forordning (EU) 2026/1744) er offentliggjort i EU-Tidende 24. juli 2026 og i kraft fra 27. juli 2026.