spørgeskemaet spørger, hvordan vi overvåger sikringen af vores leverandører

Kædesikkerhed: Deres kunde spørger videre om Deres egne leverandører

Dette spørgsmål vedrører artikel 21 stk. 2 litra d i NIS2: sikkerhed i forsyningskæden, herunder forholdet til hver direkte leverandør eller tjenesteudbyder. Deres kunde ønsker således ikke blot at vide, hvordan De selv er sikret, men også hvordan De håndhæver det hos Deres underleverandører. Konkret bliver der normalt spurgt, om De inkorporerer sikkerhedskrav i kontrakter, om De vurderer leverandører på forhånd, og om De med jævne mellemrum kontrollerer, at de overholder disse krav.

Hvis De endnu ikke har formaliseret denne proces, er det mest ærligt svar, at De gør det uformelt — for eksempel via kontraktuelle klausuler uden struktureret vurdering — eller at De endnu ikke gør det. At give svar "ja", fordi det lyder logisk, hjælper ikke: hvis Deres kunde går nærmere ind på at bede om en eksempelkontrakt eller en leverandørliste med risikoscore, skal det være der. Samme spørgsmål kommer ofte igen i en blot lidt anden form, nemlig om virksomheden stiller sikkerhedskrav til sine egne leverandører — det er i virkeligheden samme krav, men adskilt fra kontraktspørgsmålet. Det er således værdifuldt at formulere ét svar, som De kan genbruge på flere lister.

Hvor dette kommer fra: artikel 21 stk. 2 og Annex A.5.19-21

Det juridiske grundlag er artikel 21 stk. 2 litra d i NIS2-direktivet, et af de ti obligatoriske sikkerhedstiltag, der nævnes der. I den nederlandske praksis kommer dette tilbage i Cyberbeveiligingsloven, implementeringen af NIS2, som træder i kraft den 15. august 2026 — spørgsmålet fra Deres kunde løber således ofte forud for det, der selv senere bliver obligatorisk for Dem, medmindre De allerede falder under direktivet via definitionen af enhed under NIS2. Hvis De anvender ISO/IEC 27001, genkender De samme krav i Annex A, kontrolforanstaltningerne under A.5.19 til og med A.5.21 om leverandørforhold og de sikkerhedskrav, der er fastsat heri. Begge kilder beder i det væsentlige om det samme: ikke blot at vide, hvem Deres leverandører er, men påviseligt at overvåge deres sikkerhedsniveau.