kunde spørger, hvordan vi er beskyttet mod angreb via vores leverandører

Dette spørgsmål handler om artikel 21, stk. 2, litra d, ikke om jeres hele sikkerhedspolitik

Dette spørgsmål sigter specifikt på sikkerhed i forsyningskæden: hvad gør I for at forhindre, at en svag plads hos jeres leverandør muliggør et angreb mod jer. Dette er en af de ti foranstaltninger i artikel 21, stk. 2, NIS2, sammen med blandt andet risikovurdering, hændelseshåndtering og kryptografi. Spørger ønsker derfor ikke at vide, hvordan jeres egne systemer er sikret — det er et andet spørgsmål på listen — men hvordan I har kontrol over risici, der kommer ind via tredjemand.

Konkret bevis herfor består som regel af tre dele: en leverandørvurdering før kontraktindgåelse, sikkerhedskrav, der er fastsat kontraktligt (tænk på en databehandleraftale eller en separat sikkerhedsbijlage), og et overblik over, hvilke leverandører der har adgang til hvilke systemer eller data. Hvis I ikke har det, er "nej" det ærlige svar — en leverandørliste uden underliggende krav er ikke bevis på kontrol. Hvis I gerne vil se nærmere på, hvad kunden præcist mener med dette spørgsmål, hjælper det at se, om virksomheden stiller sikkerhedskrav til sine egne leverandører er udarbejdet separat i kædedokumentationen, uafhængigt af spørgsmålet om, hvorvidt I selv er omfattet af direktivet.

Hvis I er ISO 27001-certificeret, ligger svaret ofte allerede klar: Annex A indeholder en specifik kontrolforanstaltning for leverandørforhold (A.5.19 til A.5.22 i 2022-versionen), og en revisor har allerede kontrolleret det. Uden certificering er svaret ikke automatisk "nej" — det handler om, hvad I faktisk gør, ikke om stemplet. Tjek ved tvivl, om virksomheden er ISO 27001-certificeret allerede er fastlagt i dokumentationen, det sparer arbejde ved dette spørgsmål.

Hvor dette kommer fra: artikel 21, stk. 2, litra d, NIS2

Artikel 21, stk. 2, litra d, i Direktiv (EU) 2022/2555 nævner udtrykkeligt "sikkerhed i forsyningskæden" som en obligatorisk del af risikostyringen, herunder forholdet til individuelle leverandører. Cybersikkerhedsloven overtager denne forpligtelse, så snart denne lov træder i kraft; indtil da kan spørgsmålet dog godt dukke op, fordi kunden selv allerede er omfattet af direktivet og videregiver dette i kæden, selv hvis I selv ikke er en NIS2-enhed.