spørgeskemaet spørger, hvordan vi kortlægger risici i vores kæde

Kæderisici berører to forskellige spørgsmål

Spørgsmålet om supply chain-risici stiller i praksis to ting på en gang, og spørgeskemaet skelner ofte ikke eksplicit mellem dem. For det første: har virksomheden selv indsigt i risici, der kommer ind via dens egne leverandører og tjenesteydere — tænk på en it-leverandør med adgang til netværket, eller en softwarekomponent fra en tredjepart. For det andet: stiller virksomheden krav til disse leverandører, og kontrollerer den dem. Dette andet punkt overlapper med spørgsmålet om virksomheden stiller sikkerhedskrav til sine egne leverandører — ofte er det ordret det samme spørgsmål, blot andetsteds på listen udtrykt med andre ord.

Den, der er certificeret i henhold til ISO/IEC 27001, kan sædvanligvis henvise til kontrolforanstaltningerne for leverandørrelationer fra Bilag A — de er specifikke for denne del, og en revisor har allerede vurderet dem. Uden certificering betyder svaret ikke automatisk "nej": relevant er, om der findes en risikovurdering, hvor leverandører er medtaget som opmærksomhedspunkt, også selvom den er uformel. Dette stemmer overens med det bredere spørgsmål om politik for risikovurdering, hvor kæderisici typisk udgør et afsnit, ikke et separat dokument. Hvis intet er dokumenteret, er "nej" det ærlige svar — at fremlægge et ja uden at der ligger en risikovurdering, kontraktklausul eller leverandøroversigt til grund for det, kan ikke stå hvis kunden beder om bevisstykket.

Hvor dette kommer fra: artikel 21 stk. 2 NIS2

Kædesikkerhed er nævnt som en særskilt komponent i artikel 21 stk. 2 i NIS2-direktivet, blandt de ti foranstaltninger, der er oplistet der. For den, der selv falder under direktivet — eller snart falder under Cybersikkerhedsloven, den danske gennemførelse, som træder i kraft den 15. august 2026 — er dette ikke en valgfri komponent, men en af de obligatoriske foranstaltninger. For den, der ikke falder derunder, men alligevel modtager spørgsmålet fra en kunde, er det sædvanligvis en videregiveelse af samme krav: kunden skal selv kunne påvise, at den har styr på sin kæde, og spørger derfor videre herom.