vem kan se alla våra uppgifter i dokumentet

Åtkomst är ett inställningsval, inte ett plattformsval

Vi bestämmer inte vem som kan få åtkomst till kedjedokumentet. Det ordnar organisationen själv, per användare och per roll. Någon som bara får fylla i identitetsuppgifter — som det lagliga namnet eller registreringsnumret för anmälan — behöver inte ha insyn i till exempel ISO 27001-status eller svaren till bankerna. Det är lämpligt att skilja på det när flera kollegor arbetar med listor, eftersom inte varje avdelning behöver samma uppgifter för att utföra sin del.

I praktiken fungerar det med roller: en administratör som skapar konton och tilldelar rättigheter, och användare som bara kan läsa eller också kan bekräfta. Konfidentiella fält — tänk på omsättningssiffror eller detaljer om ansvarsförsäkringen — kan avskärmas separat, även för användare som annars har åtkomst till dokumentet. Vem som ställer in det och hur strikt är ett val för organisationen. Vi lagrar data och visar dem för den som är auktoriserad för det; vi gör inget innehållsmässigt beslut om vem som ser vilket fält.

Varför vi inte har någon roll här

Det följer av hur plattformen är utformad: vi bygger svarsidan, vi loggar aldrig in på en klients portal och vi läser ingen inskickad frågelista. Åtkomstkontroll till eget dokument är alltså liksom upprätthållandet av den sektor där företaget är verksamt eller antalet anställda: data och inställningar för klienten, inte något vi fattar någon bedömning om. Detta är skilt från de krav som kan förekomma i själva frågelistor om åtkomstkontroll som en kontrollåtgärd — som nämnts i Annex A i ISO/IEC 27001 eller i de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet. Dessa krav handlar om hur klientens organisation själv är organiserad, inte om inställningarna inom denna plattform.