spørgeskemaet spørger, hvordan vi kontrollerer cybersikkerheden hos vores egne leverandører

Forsyningskædensikkerhed: hvad kunden præcis vil vide

Dette spørgsmål handler om artikel 21, stk. 2, litra d i NIS2: sikringen af forsyningskæden, herunder forholdet til hver enkelt leverandør. Kunden ønsker således ikke at vide, om du selv er sikker, men om du også stiller det krav til dine leverandører og kontrollerer det. Konkret søger spørgeskemaet normalt efter tre ting: har du optaget sikringskrav i kontrakter med leverandører, vurderer du leverandører før du engagerer dem, og foretager du periodiske revurderinger af dem. Et svar som "vi stoler på vores leverandører" udgør ikke bevis for dette felt — der skal være en proces bag.

Hvis du har den proces, er bevismaterialet normalt en leverandørpolitik eller en klausul i standardaftalen, eventuelt suppleret med en oversigt over foretagne vurderinger. Hvis du ikke har det, er "nej" her det ærlige svar — at udfylde det på grundlag af en antagelse giver ikke et ja, for dossieren har ingen kilde for det. Dette emne hænger i øvrigt sammen med et andet felt i samme spørgeskema: eller virksomheden stiller sikringskrav til sine egne leverandører er ofte et særskilt stillet spørgsmål, men bevismaterialet overlapper med det, der spørges her. Det er også relevant, om din egen risikovurdering medtager leverandører som en særskilt risikokategori; det stemmer overens med politikken for risikovurdering og informationssikkerhed der spørges om andre steder på listen.

Grundlag: artikel 21, stk. 2 og Bilag A

Forpligtelsen følger af artikel 21, stk. 2, litra d i Direktiv (EU) 2022/2555, der nævner forsyningskædesikkerhed som en af de ti obligatoriske foranstaltninger. ISO/IEC 27001 præciserer dette i Bilag A under kontrolforanstaltningerne for leverandørforhold: der skelnes mellem krav ved relationens start og periodisk overvågning. For danske virksomheder gentages den samme forpligtelse i cybersikkerhedsloven, der træder i kraft den 15. august 2026 som implementering af NIS2. Om denne forpligtelse gælder din virksomhed selv, afhænger af, om du falder ind under direktivet; det er et andet spørgsmål end det, der spørges om her, og er særskilt forklaret ved eller virksomheden selv falder ind under NIS2.