skal vi stille de samme cyberspørgsmål til vores egne leverandører

Ja, for artikel 21, stk. 2 forpligter til det eksplicit

Ja, i de fleste tilfælde skal det gøres. Artikel 21, stk. 2 i NIS2-direktivet nævner ti foranstaltninger, som en virksomhed skal gennemføre, og punkt (d) vedrører specifikt sikringen af forsyningskæden — herunder forholdet til og mellem hver leverandør eller tjenesteudbyder. Hvis jeres kunde således stiller spørgsmål om sikring af forsyningskæden, er det ikke tilstrækkeligt alene at vise, hvad I selv foretager. I skal også kunne vise, hvad I kræver af jeres egne underleverandører, og hvordan I kontrollerer dette.

I praksis betyder det sædvanligvis en lagdelt tilgang, ikke en kopi af hele spørgeskemaet fra jeres kunde. Stil sædvanligvis spørgsmål om: har underleverandøren grundlæggende foranstaltninger på plads (adgangskontrol, backup, håndtering af hændelser), findes der en kontraktuel bestemmelse om indberetningspligt ved en hændelse, og — for kritiske leverandører — foreligger der dokumentation såsom et ISO 27001-certifikat eller en egen erklæring. Jo vigtigere underleverandøren er for jeres serviceydelse til kunden, desto mere specifikke krav kan I stille. Dette er det samme spørgsmål, som jeres kunde nu stiller jer om sikkerhedskrav til egne leverandører — I står her midt i kæden, ikke i begyndelsen.

Hvor det står i direktivet og normen

Forpligtelsen selv er fastsat i artikel 21, stk. 2, litra d i NIS2-direktivet, der nævner sikring af forsyningskæden som en af de ti obligatoriske foranstaltninger. For den nederlandske praksis betyder det, at det oversættes til Cyberbeveiligingswet, gennemførelsen af NIS2, der træder i kraft den 15. august 2026 — fra det tidspunkt gælder forpligtelsen også formelt efter nederlandsk ret for virksomheder, der falder ind under loven. Den, der kan påvise, at dette er systematisk etableret, henviser ofte til Annex A i ISO/IEC 27001, hvor leverandørrelationer og sikring af forsyningskæden er optaget som separate kontrolforanstaltninger. Hvorvidt jeres virksomhed selv falder ind under NIS2-direktivet som virksomhed, er dog et særskilt spørgsmål, der står uafhængigt af, hvad jeres kunde kontraktligt kræver af jer; denne forskel behandles under spørgsmålet om virksomheden falder ind under direktivet.