Övervakning av sekundära driftsmiljöer

Driftsmiljöns tjänsteleverantör är ansvarig för att bevisa kravenligheten. I praktiken ska kravenligheten bevisas med ett giltigt intyg från ett bedömningsorgan för informationssäkerhet, med uppdaterad dokumentation och vid behov i den tekniska driftsmiljön.

Valvira övervakar driftsmiljöer bland annat med kontroll- och styrningsbesök, med rapporter och granskningar. Valvira har även rätt att använda externa experter för att bedöma kravenligheten i driftsmiljöernas informationssäkerhet. Externa experter kan delta i kontroller samt undersöka och testa driftsmiljöer. Valviras kontrollåtgärder inriktas särskilt på driftsmiljöernas tjänsteleverantörer samt på de organisationer som använder sekundära driftsmiljöer, men vid behov även på andra organisationer. Övervakning utförs både planenligt och som reaktiv övervakning.