bör vi ställa samma cyberfrågor till våra egna leverantörer

Ja, för artikel 21 stycke 2 föreskriver det ordagrant

Ja, i de flesta fall måste det göras. Artikel 21 stycke 2 i NIS2-direktivet nämner tio åtgärder som en enhet måste vidta, och punkt (d) däri behandlar specifikt säkerhet i leverantörskedjan — inklusive relationen med och mellan varje leverantör eller tjänsteleverantör. Om din kund ställer frågor om kedjesäkerhet räcker det inte med att visa vad du gör själv. Du måste även kunna visa vad du kräver av dina egna underleverantörer och hur du kontrollerar det.

I praktiken betyder det vanligtvis en stegvis metod, inte en kopia av hela frågelistan från din kund. Från din sida brukar du vanligtvis fråga: har underleverantören grundläggande åtgärder på plats (åtkomst, säkerhetskopior, incidenthantering), finns det en avtalsbestämmelse om anmälningsskyldighet vid en incident, och — för kritiska leverantörer — finns det bevis såsom ett ISO 27001-certifikat eller ett eget uttalande. Ju viktigare underleverantören är för din tjänstleverans till kunden, desto mer specifika krav kan du förlägga vidare. Detta är samma fråga som din kund nu ställer till dig om säkerhetskrav på egna leverantörer — du befinner dig här i mitten av kedjan, inte i början.

Var det finns i riktlinjen och normen

Själva förpliktelsen finns i artikel 21 stycke 2 under (d) i NIS2-direktivet, som säkerhet i leverantörskedjan nämner som en av tio obligatoriska åtgärder. För nederländsk praxis betyder detta Cybersäkerhetslag, genomförandet av NIS2 som träder i kraft den 15 augusti 2026 — från det datumet gäller förpliktelsen även formellt enligt nederländsk lag för enheter som omfattas av lagen. Den som kan visa att detta är systematiskt organiserat hänvisar ofta till Annex A i ISO/IEC 27001, där leverantörsrelationer och säkerhet i leverantörskedjan är uppförda som separata kontrollåtgärder. Huruvida ditt företag själv omfattas av NIS2-direktivet som enhet är en separat fråga som står skild från vad din kund avtalsmässigt kräver av dig; denna skillnad behandlas vid frågan om företaget omfattas av direktivet.