kunden frågar hur vi hanterar åtkomst från externa leverantörer

Åtkomst för externa leverantörer är en del av artikel 21 stycke 2

Den här frågan handlar om hur du hanterar åtkomst från tredje parter till dina system och data, och det berör två av de tio åtgärderna i artikel 21 stycke 2 i NIS2 samtidigt: punkt (i), åtkomstkontrollpolicy, och punkt (d), säkerhet i leverantörskedjan mot leverantörer. Kunden vill alltså inte bara veta om externa parter har åtkomst, utan också hur denna åtkomst är avgränsad, vem som beviljar och återkallar den, och om denna process är dokumenterad. Ett svar som "leverantörer får endast åtkomst efter godkännande" är för vagt utan att förklara hur godkännandet går till och hur ofta det granskas om.

Det du konkret behöver: en beskrivning av auktoriseringsprocessen för externa konton, helst med en referens till minsta behörighet (åtkomst begränsad till vad som är nödvändigt) och tidsperioden då åtkomsten granskas eller återkallas när uppdraget slutar. Om denna process saknas är "nej" här det ärliga svaret — ett vinklat "ja" utan underliggande dokument orsakar större skada vid en stickprovskontroll från kunden än ett nej med en förklaring att policyn är under utveckling. Det här ämnet överlappar med åtkomstpolicy och hantering av företagstillgångar, där den bredare auktoriseringsstrukturen behandlas, och med frågan om organisationen ställer krav på sina egna leverantörer, för hantering av extern åtkomst är i praktiken ofta en del av samma leverantörskedjepolicy.

Där detta finns: artikel 21 stycke 2, punkter (d) och (i)

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 nämner under (i) "policy för åtkomstkontroll" som en av de tio obligatoriska åtgärderna, och under (d) säkerhet i leverantörskedjan inklusive relationen med leverantörer — extern åtkomst faller under båda. I ISO/IEC 27001 Annex A är motsvarande kontrollåtgärder för åtkomsthantering och leverantörsrelationer utarbetade på kontrollnivå, vilket förklarar varför en kund ofta frågar efter ett specifikt Annex A-kontrollnummer istället för direktivtexten själv. För företag som omfattas av den nederländska genomförandet gäller denna skyldighet även enligt Cybersäkerhetslag, som träder i kraft den 15 augusti 2026.