Stiller virksomheden sikkerhedskrav til sine egne leverandører?

Forsyningskæde er en af de ti foranstaltninger

Ja, i de fleste tilfælde er det relevant at besvare dette med en henvisning til konkret leverandørpolitik, ikke med en generel forsikring. Spørgsmålet kommer direkte fra artikel 21, stk. 2 i NIS2-direktivet, hvor "sikkerhed i forsyningskæden" står som et separat punkt ved siden af de ni andre foranstaltninger. Kunden ønsker således ikke at vide, om De selv er godt sikret, men om De stiller dette krav videre til de parter, som De er afhængige af: hostingudbydere, softwareleverandører, it-tjenesteudbydere.

Konkret handler det om spørgsmål som: er der sikkerhedskrav i kontrakterne med kritiske leverandører, bliver sikkerhedsniveauet vurderet ved udbud eller onboarding, og er der overblik over afhængighederne længere ud i kæden. En virksomhed, som selv har en informationssikkerhedspolitik — se også spørgsmålet om politik for risikovurdering og sikring af informationssystemer — har ofte allerede en ramme, hvor leverandørvurdering er en fast del. Mangler det, er "nej" eller "delvis" et ærligt svar; et løfte om, hvad der burde ske, hører ikke til her.

Hvor dette står i artikel 21, stk. 2 NIS2

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner sikkerhed i forsyningskæden som en af de ti foranstaltninger, som en enhed skal træffe, herunder opmærksomhed på forholdet mellem enheden og dens direkte leverandører eller tjenesteudbydere. Dette punkt hænger ofte sammen med andre foranstaltninger fra samme liste: en leverandør, som ikke indberetter sårbarheder, påvirker også processen for at opdage og udbedre sårbarheder, og en hændelse hos en leverandør skal følge samme rute som en hændelse i virksomheden selv. Om dette spørgsmål overhovedet er obligatorisk, afhænger af, om virksomheden selv er omfattet af direktivet — det er et separat spørgsmål med sit eget svar.