Hvem som gjør hva når noe går alvorlig galt — avklart før det skjer, ikke under.
Hvorfor det er viktig
Alle systemer får en dårlig dag. Forskjellen på en håndtert hendelse og en krise er om noen visste hva de skulle gjøre. Ved sikkerhetsbrudd har dere dessuten 72 timers meldeplikt til Datatilsynet — den fristen løper mens dere leter etter en telefonliste.
Eksempel på kravformulering
Leverandøren skal ha dokumentert beredskapsplan med definerte varslingsveier, eskaleringsnivåer og responstider. Ved mistanke om sikkerhetsbrudd som omfatter personopplysninger skal oppdragsgiver varsles uten ugrunnet opphold og senest innen 24 timer. Beredskapen skal øves minimum årlig, og hendelser skal følges av en skriftlig evaluering.
Tilpass tallene til deres virkelighet — et krav du ikke kan begrunne, er et krav du ikke bør stille.
Slik verifiserer du det
Be om planen og om referatet fra siste øvelse. Finnes ingen øvelse, finnes ingen beredskap — bare et dokument. Spør konkret: hvem ringer hvem klokka tre om natta?
Fallgruver
En beredskapsplan ingen har lest. Og å avtale 72 timers varsling til dere: da har dere null tid igjen på deres egen 72-timersfrist. Krev kortere.
AI-perspektiv
Ta med AI-spesifikke hendelser i planen: hva gjør dere hvis modellen begynner å gi skadelige svar, eller hvis en promptinjeksjon lekker data? Det er nye feilmoduser som ikke ligner nedetid.