Et brugbart bilag beskriver, hvem der træffer beslutninger, hvem der udfører kontroller, og hvilken dokumentation kunden modtager. Formuleringer som ”høj sikkerhed” eller ”fælles ansvar” er for upræcise til daglig kontraktstyring.

Lav en ansvarsmatrix for adgangsstyring, konfiguration, hændelser, backup, ændringer og underleverandører. Tilføj mødefrekvens, rapporteringsformat, eskalationsvej og frister for afhjælpning. Gennemgå mindst ét konkret scenarie, eksempelvis kompromittering af en administratorkonto. Hvis parterne er uenige om næste handling i scenariet, skal bilaget præciseres, før aftalen underskrives.

Kilder og faglig baggrund: Digitaliseringsstyrelsen: K04 – IT-drift · NIST: Cybersecurity Framework 2.0