spørgeskemaet spørger om risici i vores forsyningskæde, hvilket betyder

Supply chain-risici er sikkerheden af dine egne leverandører

Supply chain-risici handler om de leverandører og tjenesteudbydere, som du benytter, og om de udgør et hul i din kundes sikkerhed. Spørgsmålet kommer ikke ud af det blå: det er et ord-til-ord tiltag fra artikel 21 stk. 2 i NIS2, punkt d, som eksplicit omhandler sikringen af forsyningskæden, herunder forholdet til leverandører. Din kunde skal kunne dokumentere, at han har spurgt om dette hos sine egne leverandører — altså hos dig. Derfor kommer spørgsmålet på listen.

I praksis bliver der spurgt om to ting på samme tid. Dels: har du selv indsigt i de risici, som dine kritiske leverandører (hosting, software, IT-drift) medbringer? Dels: stiller du selv krav til disse leverandører, kontraktmæssigt eller på anden måde? Det sidste overlapper med spørgsmålet om dine egne leverandører skal overholde sikkerhedskrav — ofte er det bogstaveligt talt det samme spørgsmål i anden form, så tjek først, om du allerede havde besvaret det. Hvis du ikke har en formel leverandørpolitik, er et ærligt "nej, ikke endnu" mere præcist end et svar, der lover mere, end der er.

Kan føres tilbage til artikel 21 stk. 2 litra d i NIS2

Dette spørgsmål følger direkte af de ti tiltag i artikel 21 stk. 2 i Direktiv (EU) 2022/2555, hvor sikringen af forsyningskæden som separat element (litra d) står ved siden af risikovurdering og hændelseshåndtering. I Cybersikkerhedsloven, den danske omsat version, som træder i kraft den 15. august 2026, dukker dette tiltag op for de enheder, som falder under loven. Hvis du arbejder med ISO/IEC 27001, genkender du det samme krav i Annex A under kontrolforanstaltninger for leverandørforhold. Om din virksomhed selv falder under anvendelsesområdet af denne forpligtelse afhænger af om virksomheden som enhed falder under NIS2 eller den nationale omsat version — det afgør, om det er en forpligtelse for dig, eller blot et spørgsmål, som din kunde sender videre til dig.