vem på vårt företag kan se eller ändra kedjedossieren

Roller och rättigheter, inte ett konto för alla

Vem som kan se eller ändra kedjedossieren bestäms av organisationen själv: det är ingen lagstadgad roll utan en inställning i systemet. I praktiken fungerar det med roller: en administratör som får ändra fält och länka källor, och kollegor som bara får läsa eller bara få fylla i en särskild del — till exempel IT för frågorna om informationssäkerhet, och ekonomi för omsättningsdata. På så sätt behöver inte alla ha tillgång till allt, och det är tydligt vem som har angett eller bekräftat vilket svar.

Den distinktionen är jämförbar med vad Uppfyller företagets onlinetjänster tillgänglighetskraven? och andra tekniska delar frågar: inte varje anställd har tillräcklig kunskap för att bedöma ett svar. Samma logik gäller för känsliga fält som Använder företaget AI-system inom sin tjänsteverksamhet? — där du vill att den person som bekräftar svaret också förstår vad frågan syftar på. Vem som slutligen klickar på "ja" eller "nej" på en frågelista är en organisationens eget val; systemet registrerar bara vem som gjorde det och när.

Varför rollfördelning överhuvudtaget är relevant

Denna indelning följer inte från en specifik lagbestämmelse, utan från karaktären hos de underliggande kraven själva. De tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet nämner åtkomstkontroll uttryckligen som en kontrollerande åtgärd, och Annex A i ISO/IEC 27001 utvecklar det vidare med konkreta kontroller för vem som får se eller ändra vilka uppgifter. Ett kedjedossier som innehåller svar på sådana här frågelistor faller under samma logik: inte för att lagen föreskriver plattformen, utan för att fråglistorna själva ofta frågar hur åtkomsten till företagsdata är reglerad. Rollfördelningen i dossieren är således en praktisk återspegling av vad som redan frågas i dessa krav, inte en separat skyldighet.