vores kunde er omfattet af NIS2 og stiller nu krav til os, hvad betyder det

Deres kunde videregiver de ti foranstaltninger fra artikel 21 til jer

Det betyder, at I bliver en del af den forsyningskædetilgang, som artikel 21, stk. 2 i NIS2 foreskriver. En enhed, der falder ind under NIS2, skal selv træffe "sikkerhedsforanstaltninger i forsyningskæden" — punkt (d) i dette stykke — og det gør jeres kunde ved at lægge de krav, han stiller til sig selv, også ud til jer. I bliver således ikke selv NIS2-forpligtet på grund af dette spørgeskema; I får konsekvensen af jeres kundes forpligtelse på jeres bord. Om I selv falder ind under direktivet, er et særskilt spørgsmål — det besvarer I uafhængigt, for eksempel med forklaringen om eller om virksomheden selv falder under NIS2-direktivet.

I praksis oversætter spørgeskemaet artikel 21, stk. 2 til separate spørgsmål: har I risikoanalyse og politik for informationssikkerhed, hvordan håndterer I hændelser, hvordan ser det ud med sikkerhedskopier og gendannelse, hvordan administrerer I adgang og bruger I flerfaktorgodkendelse, og — den bestemmelse, som jeres kunde nu lige anvender på jer — stiller I selv også krav til jeres leverandører. For hvert af disse punkter findes en særskilt forklaring i vidensbanken, som for eksempel politik for risikoanalyse og sikkerhed af informationssystemer og sikkerhedskrav til egne leverandører. Hvis I allerede har et ISO 27001-certifikat, dækker det en stor del af disse spørgsmål på én gang.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner de ti foranstaltninger bogstaveligt, fra politik for risikoanalyse (a) til sikkerhed ved anskaffelse af produkter og tjenester og leverandørforholdet (d), til adgangskontrol og flerfaktorgodkendelse (j). Den nederlandske cybersikkerhedslov implementerer dette direktiv i nationalt ret og træder i kraft den 15. august 2026; indtil da kan jeres kunde allerede lægge sin egen forberedelse ud til jer, selv uden at loven allerede gælder. Dem, der genkender de ti foranstaltninger som separate Annex A-controls fra ISO/IEC 27001, kan overtage mange svar direkte fra et eksisterende ISMS.