vi skal påvise, at vi tjekker vores leverandører for cybersikkerhed, hvordan gør jeg det

Kædesikkerhed: hvad artikel 21, stk. 2, litra d kræver

Artikel 21, stk. 2, litra d i NIS2-direktivet nævner sikring af forsyningskæden som én af ti obligatoriske foranstaltninger, herunder sikkerhedsaspekterne af relationer mellem enheden og dens direkte leverandører. Det betyder konkret: du skal kunne dokumentere, at du ved indgåelse og vedligeholdelse af leverandørrelationer vurderer, om leverandøren udgør en risiko for din egen tjenesteydelse. En skriftlig leverandørpolitik med mindst tre elementer dækker typisk dette: et udvalgskriterium på forhånd (hvilke krav stiller du til nye leverandører), en periodisk vurdering i løbet af perioden, og en eskalationsprocedure, hvis en leverandør indberetter en hændelse. Dette er det samme spørgsmål, som din kunde stiller dig selv om kæderisiko — du udfylder her faktisk dit eget svar, men så ét niveau længere ned i kæden.

Hvad der tæller som bevis, afhænger af, hvor moden din proces er. En kontraktbestemmelse, hvor din leverandør forpligter sig til bestemte sikkerhedskrav, er et startpunkt, men ikke en vurdering. Stærkere er en spørgeskema, som du selv sender til leverandører, koblet til et simpelt risikoetiket (lavt/medium/højt) på grundlag af, hvad leverandøren ser eller berører ved dine systemer. Hvis du ikke har det, er det mest ærligt svar, at du skal etablere processen — ikke at du udfylder "ja" på en kontraktbestemmelse, der ikke betyder noget. Bemærk: dette er et separat spørgsmål fra, om din egen organisation falder ind under direktivet; selv hvis du selv ikke direkte falder ind under NIS2, kan en kunde stadig stille dette spørgsmål til dig via kædekravet.

Hvor dette stammer fra: direktivet og den danske lov

Kravet fremgår af artikel 21, stk. 2, litra d i Direktiv (EU) 2022/2555; den danske lov om cybersikkerhed gennemfører dette i dansk ret og træder efter forventning i kraft den 15. august 2026. ISO/IEC 27001 Bilag A indeholder en sammenlignelig kontrolforanstaltning vedrørende leverandørrelationer, hvilket forklarer, hvorfor kunder med et ISO-spørgeskema ofte stiller det samme spørgsmål som kunder, der henviser til NIS2.