spørgeskemaet spørger, hvordan vi håndterer risici fra vores leverandører

Værktøjskædesikkerhed er ét af de ti obligatoriske foranstaltninger

Dette er ikke bare et ekstra spørgsmål: sikring af forsyningskæden er nævnt som en separat del i artikel 21, stk. 2 i NIS2, ved siden af de øvrige ni foranstaltninger såsom risikovurdering, hændelseshåndtering og adgangskontrol. Kunden, der stiller dette spørgsmål, kontrollerer, om din virksomhed også ser bagud: ikke kun din egen sikkerhed, men også sikkerhed hos de parter, du er afhængig af. Det stemmer overens med sikkerhedskrav, som virksomheden selv stiller til sine leverandører — samme princip, ét skridt længere i værktøjskæden.

Konkret bliver der som regel spurgt om tre ting: har du en politik eller proces til at vurdere leverandører ud fra cyberrisiko, stiller du kontraktlige krav (f.eks. indberetningspligt ved hændelser, minimumssikkerhedsniveauer), og overvåger du det efter kontraktindgåelsen. Hvis du ikke har denne proces, er "nej" med en kort bemærkning et godt svar — bedre end et "ja", som du ikke kan underbygge. Har du en leverandørvurdering, men ingen separat cybersikring, skal du præcisere det således: dokumentet skal stemme overens med det, du udfylder. Et ISO 27001-certifikat med Bilag A dækker typisk dette emne, så hvis virksomheden er ISO 27001-certificeret er det ofte det hurtigste dokumentation at levere.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

De ti foranstaltninger i artikel 21, stk. 2 i NIS2 nævner værktøjskædesikkerhed som et separat punkt, adskilt fra den almindelige risikovurdering. ISO/IEC 27001 udarbejder dette nærmere i kontrolforanstaltningerne i Bilag A, specifikt rettet mod leverandørforhold og de krav, du stiller til disse. Cybersikkerhedsloven implementerer denne forpligtelse i dansk ret og træder i kraft den 15. august 2026 — for nu er EU-direktivet selv kilden, og kunden spørger i praksis ofte allerede forudgående dette.