frågelistan frågar hur vi övervakar säkerheten hos våra leverantörer

Leveranskedjesäkerhet: din kund frågar vidare om dina egna leverantörer

Den här frågan handlar om artikel 21 stycke 2 punkt d i NIS2: säkerhet i leveranskedjan, inklusive relationen till varje direkt leverantör eller tjänsteleverantör. Din kund vill alltså inte bara veta hur du själv är säkerställd, utan också hur du tillämpar det på dina underleverantörer. Konkret brukar man fråga om du inkluderar säkerhetskrav i kontrakt, om du granskar leverantörer i förväg, och om du regelbundet kontrollerar att de följer dessa krav.

Om du inte formellt har etablerat denna process ännu, är det mest ärliga svaret att du gör det informellt — till exempel genom kontraktsklausuler utan strukturerad granskning — eller att du inte gör det än. Att fylla i "ja" för att det låter logiskt hjälper inte: om din kund ber om ett exempelkontrakt eller en leverantörslista med riskbedömning, måste det finnas då. Samma fråga dyker ofta upp i en något annorlunda form, nämligen om företaget ställer säkerhetskrav på sina egna leverantörer — det är i grund och botten samma krav, men lossnöjd från kontraktsfrågan. Det är därför meningsfullt att formulera ett svar som du kan återanvända på flera listor.

Var detta kommer ifrån: artikel 21 stycke 2 och Annex A.5.19-21

Den juridiska grunden är artikel 21 stycke 2 punkt d i NIS2-direktivet, ett av de tio obligatoriska åtgärder som nämns där. För den nederländska praktiken återkommer detta i Cybersäkerhetslag, implementeringen av NIS2 som träder i kraft den 15 augusti 2026 — din klients fråga ligger alltså ofta före vad som blir obligatoriskt för dig själv senare, såvida du inte redan omfattas av direktivet genom definitionen av enhet enligt NIS2. Den som tillämpar ISO/IEC 27001 känner igen samma krav i Annex A, kontrollåtgärderna under A.5.19 till och med A.5.21 om leverantörsrelationer och de säkerhetskrav som fastställs däri. Båda källorna frågar i grunden samma sak: inte bara veta vilka dina leverantörer är, utan påvisbart övervaka deras säkerhetsnivå.