kunde spørger, hvordan vi administrerer adgang for eksterne leverandører

Adgang for eksterne leverandører er en del af artikel 21, stk. 2

Dette spørgsmål handler om, hvordan du administrerer tredjeparters adgang til dine systemer og data, og det berører to af de ti foranstaltninger i artikel 21, stk. 2 i NIS2 samtidigt: punkt (i), adgangspolitikken, og punkt (d), forsyningskædebeskyttelse over for leverandører. Kunden ønsker således ikke blot at vide, om eksterne parter har adgang, men også hvordan den adgang er afgrænset, hvem der tildeler og tilbagekalder den, og om processen er dokumenteret. Et svar som "leverandører får kun adgang efter godkendelse" er for vagt uden at præcisere, hvordan godkendelsen forløber, og hvor ofte den gennemgås.

Hvad du konkret har behov for: en beskrivelse af autorisationsprocessen for eksterne konti, helst med en angivelse af least privilege (adgang begrænset til det nødvendige) og af perioden, hvor adgangen bliver gennemgået eller tilbagekaldt ved opgavens afslutning. Hvis processen mangler, er "nej" her det ærlige svar — et antydet "ja" uden underliggende dokument medfører større skade ved kundens stikprøvekontrol end et nej med en forklaring på, at politikken er under udvikling. Dette emne overlapper med adgangskontrol og forvaltning af virksomhedsmidler, hvor den bredere autorisationsstruktur behandles, og med spørgsmålet om virksomheden stiller krav til sine egne leverandører, for ekstern adgangsstyring er i praksis ofte en del af samme forsyningskædepolitik.

Hvor dette findes: artikel 21, stk. 2, punkt (d) og (i)

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner under (i) "politik for adgangskontrol" som en af de ti obligatoriske foranstaltninger, og under (d) beskyttelse af forsyningskæden, herunder relationen til leverandører — ekstern adgang falder under begge. I ISO/IEC 27001 Annex A er de tilhørende kontrolforanstaltninger for adgangsstyring og leverandørrelationer udarbejdet på kontrolniveau, hvilket forklarer, hvorfor en kunde ofte spørger til et specifikt Annex A-kontrolnummer i stedet for selve direktivteksten. For virksomheder, der falder under den nederlandske implementering, kommer dette krav tilbage i Cybersikkerhedsloven, som træder i kraft den 15. august 2026.