kund frågar hur vi är skyddade mot attacker via våra leverantörer

Denna fråga gäller artikel 21 stycke 2 punkt d, inte er hela säkerhetspolicy

Denna fråga fokuserar specifikt på säkerhet i leverantörskedjan: vad gör ni för att förhindra att en svag punkt hos er leverantör möjliggör en attack mot er. Det är en av tio åtgärder i artikel 21 stycke 2 NIS2, tillsammans med bland annat riskanalys, incidenthantering och kryptering. Frågställaren vill alltså inte veta hur era egna system är säkrade — det är en annan fråga i enkäten — utan hur ni hanterar risker som kommer in via en tredje part.

Konkret bevis för detta består vanligtvis av tre delar: en leverantörsbedömning innan ett avtal sluts, säkerhetskrav som är avtalsreglerade (tänk på ett databehandlaravtal eller en separat security-bilaga), och en översikt över vilka leverantörer som har åtkomst till vilka system eller data. Om ni inte har det är "nej" det ärliga svaret — en leverantörlista utan underliggande krav är inte bevis på kontroll. Om ni vill titta närmare på vad kunden menar exakt med denna fråga hjälper det att se om företaget ställer säkerhetskrav på sina egna leverantörer är utarbetat separat i kedjedossieren, oberoende av frågan om ni själva omfattas av direktivet.

Om ni är ISO 27001-certifierade ligger svaret ofta redan klart: Annex A innehåller en specifik kontrollåtgärd för leverantörsrelationer (A.5.19 till A.5.22 i 2022-versionen), och en revisor har redan kontrollerat det. Utan certifikat är svaret inte automatiskt "nej" — det handlar om vad ni faktiskt gör, inte om märket. Kontrollera vid osäkerhet om företaget är ISO 27001-certifierat redan är dokumenterat i dossieren, det sparar efterforskningar på denna fråga.

Var detta kommer från: artikel 21 stycke 2 punkt d NIS2

Artikel 21 stycke 2 punkt d i direktiv (EU) 2022/2555 nämner uttryckligen "säkerhet i leverantörskedjan" som en obligatorisk del av riskhanteringen, inklusive relationen till enskilda leverantörer. Cybersäkerhetslag övertar denna skyldighet när lagen träder i kraft; fram till dess kan frågan redan förekomma eftersom kunden själv redan omfattas av direktivet och lägger detta vidare i kedjan, även om ni själva inte är en NIS2-enhet.