Minipaket: Dataskydd och integritet – SME

”Minipaket: Dataskydd och integritet – SME” är en heltäckande uppsättning av sex tätt integrerade policyer utformade för små och medelstora företag för att uppfylla kritiska krav på dataskydd, integritet och regelefterlevnad. Alla policyer i detta paket är uttryckligen anpassade för SME (vilket framgår av policynumreringen med ”S” och användningen av den verkställande direktören som huvudsaklig roll för befogenhet och ansvarsskyldighet), med hänsyn till begränsade personalresurser eller avsaknad av stora, dedikerade IT-, säkerhets- eller regelefterlevnadsavdelningar. Trots dessa strukturella begränsningar har policyerna utformats för att möta kraven i ISO/IEC 27001:2022, ISO/IEC 27002:2022, EU:s GDPR, EU:s NIS2-direktiv, EU:s DORA-förordning, NIST SP 800-53 Rev.5 och COBIT 2019. Paketet säkerställer end-to-end-täckning av hela informationslivscykeln. Policyn för dataklassificering och märkning (P13S) etablerar en SME-anpassad, genomdrivbar klassificeringsmodell i tre nivåer, inklusive krav på märkning och tekniska kontroller. Den tydliggör roller för den verkställande direktören, dataansvariga, IT-stöd (internt/outsourcat) samt anställda och uppdragstagare, med fokus på praktisk synlighet (sidhuvuden, vattenstämplar, taggar) och krav på regelefterlevnad. Nära kopplad till detta kräver policyn för datalagring och bortskaffning (P14S) lagringsperioder baserade på rättsliga skyldigheter och verksamhetsbehov, med ett centralt hanterat register för lagring, uttryckliga tekniker för säker bortskaffning (strimling, digital radering, kryptografisk radering) samt rigorös dokumentation av undantag och juridiskt bevarande och stopp för radering, med tillsyn som är genomförbar även i små organisationer. För uppgiftsminimering och behandling utanför produktionsmiljöer kräver policyn för datamaskning och pseudonymisering (P16S) att verkliga personuppgifter eller känsliga data aldrig används när det inte är strikt nödvändigt, exempelvis vid testning eller analytisk användning, genom att genomdriva transformationskontroller (maskning, tokenisering, pseudonymisering). Alla transformationsprocesser ska vara revisionsbara och använda endast IT-godkända verktyg med loggar och nyckelhantering, vilket säkerställer spårbarhet ned till enskilda dataset och händelser. Som kärna i paketet samlar policyn för dataskydd och integritet (P17S) alla rättsliga skyldigheter för personuppgifter, inklusive personal-, kund- och tredjepartsregister. Den genomdriver dataskydd genom design och som standard, laglig insamling och uppgiftsminimering, säker lagring, tydlig åtkomstgranskning samt hantering av registrerades rättigheter. Ansvar fördelas tydligt mellan den verkställande direktören (som ansvarig för dataskydd/integritet), integritetskoordinator (internt/outsourcat), IT-leverantör och all operativ personal. Utbildning, samtycke, eskalering och notifiering av personuppgiftsincident integreras, liksom kontroller för anpassning till relaterade policyer för klassificering, lagring, maskning och incidenthantering. För hantering av externa risker fastställer policyn för tredjeparts- och leverantörssäkerhet (P26S) obligatoriska krav för leverantörsgranskning, riskanalys, åtkomstbegränsning, avtalsklausuler (inklusive servicenivåavtal (SLA) för incidenter och revisionsrätt) samt löpande tillsyn. Den omfattar typiska SME-scenarier för tredje part (IT, SaaS, verksamhetsdrift m.m.) och kräver leverantörers acceptans av avtalsvillkor, regelbundna granskningar samt säker offboarding eller datadestruktion efter avslut. Slutligen effektiviserar policyn för revision och efterlevnadsövervakning (P33S) processen för internrevision, kontroller av säkerhetskontroller och regulatorisk översyn. Den är utformad för användning utan specialistrevisorer och gör det möjligt för den verkställande direktören och IT-leverantören att använda checklistor och föra bevisloggar för att säkerställa operativ beredskap för ISO/IEC 27001-certifiering eller kund-/leverantörsgranskning. Revisionsspår, dokumentation av korrigerande åtgärder och revisionsbevis ska centraliseras och vara tillgängliga i minst två år, vilket stödjer försvarbar styrning även för SME med begränsad regelefterlevnadspersonal. Tillsammans operationaliserar detta minipaket ledande standarder och integritetslagstiftning till genomförbara, verksamhetsnära kontroller och ger ett robust, revisionsredo ramverk för dataskydd och integritet som är enkelt för SME att införa och underhålla.