hvem hos os i virksomheden kan se eller ændre kettedossieret

Roller og rettigheder, ikke én konto for alle

Hvem der kan se eller ændre kædefilmen, bestemmer organisationen selv: det er ikke en lovbestemt rolle, men en indstilling i systemet. I praksis fungerer det med roller: en administrator, der må ændre felter og koble kilder, og kolleger, der kun må læse eller kun må udfylde en bestemt del — for eksempel IT til spørgsmål om informationssikkerhed, og finans til omsætningsdata. På denne måde behøver ikke alle at have adgang til alt, og det er klart, hvem der har indtastet eller bekræftet hvilket svar.

Denne skelnen er sammenlignelig med hvad Overholder virksomhedens onlinetjenester kravene til tilgængelighed? og andre tekniske komponenter spørger: ikke alle medarbejdere har tilstrækkelig viden til at vurdere et svar. Den samme logik gælder for følsomme felter såsom Anvender virksomheden AI-systemer inden for sin tjenesteydelseaktivitet? — her ønsker du, at den person, der bekræfter svaret, også forstår, hvad spørgsmålet stiller. Hvem der til sidst klikker "ja" eller "nej" ved en spørgeskema, forbliver organisationens eget valg; systemet registrerer kun, hvem der gjorde det, og hvornår.

Hvorfor rolleopdeling overhovedet er relevant

Denne inddeling stammer ikke fra ét specifikt lovbestemmelse, men fra arten af de underliggende krav selv. De ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet nævner adgangskontrol eksplicit som en kontrolforanstaltning, og Bilag A i ISO/IEC 27001 udvikler det videre med konkrete kontrolforanstaltninger for, hvem der må se eller ændre hvilke data. Et kædedossier, der indeholder svar på denne slags spørgeskemaer, falder under samme logik: ikke fordi loven foreskriver platformen, men fordi spørgeskemaerne selv ofte spørger, hvordan adgangen til virksomhedsdata er reguleret. Rolleopdelingen i dossieren er således en praktisk afspejling af, hvad der allerede spørges om i disse krav, ikke en separat forpligtelse.