Sikkerhedskrav bør beskrive kontroller og dokumentation på en måde, som både kunde og leverandør kan anvende. ”Følger bedste praksis” er for upræcist, hvis parterne senere er uenige om eksempelvis patchfrister eller logopbevaring.

Angiv risikogrundlag, ansvar, målemetode, undtagelser og opfølgningsproces. Brug scenarier til at kontrollere, om kravene dækker akut sårbarhed, mistet adgang og utilgængelig backup. Beskriv, hvordan krav kan opdateres, når trusselsbilledet ændres, og hvordan økonomiske konsekvenser håndteres. I offentlige kontrakter skal ændringsmekanismen også vurderes i forhold til udbudsreglerne.

Kilder og faglig baggrund: NIST: Cybersecurity Framework 2.0 · Udbudsloven, LBK nr. 116 af 3. februar 2025