enkäten frågar hur vi kontrollerar cybersäkerheten hos våra egna leverantörer

Försörjningskedjans säkerhet: vad kunden exakt vill veta

Denna fråga handlar om artikel 21 stycke 2 bokstav d i NIS2: säkerheten i försörjningskedjan, inklusive relationen med varje enskild leverantör. Kunden vill alltså inte veta om ni själva är säkra, utan om ni kräver det och kontrollerar det även hos era leverantörer. Konkret söker enkäten vanligtvis efter tre saker: har ni infört säkerhetskrav i kontrakt med leverantörer, granskar ni leverantörer innan ni anlitar dem, och granskar ni dem återkommande. Ett svar som "vi litar på våra leverantörer" är inte bevis för detta fält — det måste finnas en process bakom.

Om ni har den processen är beviset vanligtvis en leverantörspolicy eller en klausul i standardavtalet, eventuellt kompletterad med en sammanfattning av genomförda granskningar. Om ni inte har det är "nej" här det ärliga svaret — att fylla i baserat på ett antagande ger inte ja, för dossären har ingen källa för det. Detta ämne är för övrigt relaterat till ett annat fält i samma enkät: huruvida företaget ställer säkerhetskrav på sina egna leverantörer är ofta en separat ställd fråga, men beviset överlappar med vad som efterfrågas här. Också relevant är om er egen riskanalys inkluderar leverantörer som en separat riskkategori; det motsvarar policyn för riskanalys och informationssäkerhet som efterfrågas på annat ställe i listan.

Grund: artikel 21 stycke 2 och bilaga A

Skyldigheten följer av artikel 21 stycke 2 bokstav d i direktiv (EU) 2022/2555, som nämner försörjningskedjans säkerhet som en av tio obligatoriska åtgärder. ISO/IEC 27001 utvecklar detta i bilaga A, under kontrollåtgärder för leverantörsrelationer: där görs skillnad mellan krav vid början av relationen och periodisk övervakning. För nederländska företag återkommer samma skyldighet i Cyberbeveiligingswet, som träder i kraft den 15 augusti 2026 som genomförande av NIS2. Huruvida denna skyldighet gäller er företag beror på om ni omfattas av direktivet; det är en annan fråga än vad som efterfrågas här, och förklaras separat under huruvida företaget själv omfattas av NIS2.