vi måste påvisa att vi kontrollerar våra leverantörer gällande cybersäkerhet, hur gör jag det

Kedjesäkerhet: vad artikel 21 punkt 2 bokstav d kräver

Artikel 21 punkt 2 bokstav d i NIS2-direktivet nämner säkerhet i leveranskedjan som en av de tio obligatoriska åtgärderna, inklusive säkerhetsbetingelserna i relationerna mellan enheten och dess direkta leverantörer. Det innebär konkret: du måste kunna visa att du vid inledandet och upprätthållandet av leverantörsrelationer bedömer om denna leverantör utgör en risk för din egen tjänsteleverans. En utförlig leverantörspolicy med minst tre delar täcker detta oftast: ett urvalskriterium i förväg (vilka krav ställer du på nya leverantörer), ett periodiskt test under löptiden, och en eskalationsväg om en leverantör rapporterar en incident. Detta är samma fråga som din kund ställer till dig själv om kedjerisker — du fyller i ditt eget svar här, men en nivå djupare i kedjan.

Vilket bevis som räknas beror på hur mogna din process är. En kontraktsklausul där din leverantör förbinder sig till vissa säkerhetskrav är en utgångspunkt men ingen test. Starkare är en frågelista som du själv skickar till leverantörer, kopplad till en enkel risketikett (låg/medel/hög) baserad på vad den leverantören ser eller rör vid dina system. Har du det inte, är det mest ärligt svar att du fortfarande måste etablera processen — inte att du fyller i "ja" på en kontraktsklausul som inte spelar någon roll. Observera: detta är en separat fråga än om ditt eget företag faller under direktivet; även om du själv inte direkt omfattas av NIS2, kan en kund fortfarande ställa detta på dig via kedjeförpliktelsen.

Där detta kommer ifrån: direktiv och nederländsk lag

Förpliktelsen finns i artikel 21 punkt 2 bokstav d i direktiv (EU) 2022/2555; Cybersäkerhetslag implementerar detta i nederländsk rätt och förväntas träda i kraft den 15 augusti 2026. ISO/IEC 27001 Annex A innehåller en liknande kontrollåtgärd om leverantörsrelationer, vilket förklarar varför kunder med en ISO-frågelista ofta ställer samma fråga som kunder som hänvisar till NIS2.