kund vill att vi undertecknar ett säkerhetsbeslut får vi det bara göra

Signering är tillåtet, men läs igenom vad som står

Ja, en kund får fråga det — en säkerhetserklaring är ingen lagstadgad skyldighet utan ett avtalsvillkor, och kunden får fritt ställa sådana krav. Poängen är inte om kunden får fråga, utan om erkläringen täcker det ni faktiskt gör. En underskrift under "vi uppfyller de tio åtgärderna i artikel 21 punkt 2 NIS2" eller under "vi är ISO 27001-certifierade" är ett löfte med avtalsrättslig betydelse, inte bara en bock på en checklista. Om en tvist uppstår — en incident hos kunden som kan spåras tillbaka till er — är denna erklaring det första dokument som tas fram.

Titta därför först på formatet. Frågar erkläringen ja/nej för varje åtgärd, eller är det ett tomt påstående "vi är NIS2-kompatibla"? Det första kan du underbygga punkt för punkt; det andra är ofta bredare än vad du kan styrka, särskilt om du inte själv omfattas av direktivet utan är leverantör till en enhet som gör det — eller om företaget självt omfattas av NIS2-direktivet är då den första fråga du besvarar för dig själv. Underteckna aldrig ett påstående om en åtgärd som du inte kan påvisa, till exempel eller finns det en process för att identifiera sårbarheter — har du det inte, då skriver du det eller begär en specificerad version.

Var ansvaret kommer ifrån

Erkläringen själv får sin styrka inte från cybersäkerhetsslagen — som endast förpliktar de särskilt utpekade enheterna, inte deras leverantörer direkt — utan från avtalet du undertecknar. NIS2 verkar genom artikel 21 punkt 2, som förpliktar entiteter att hantera risker i leverantörskedjan; det är därför denna entitet frågar dig, inte varför du är bunden av det. Det du förbinder dig till står alltså i själva erkläringstexten, inte i direktivet.