fragelista frågar hur vi hanterar risker från våra leverantörer

Kedjsäkerhet är ett av de tio obligatoriska åtgärderna

Detta är inte bara en extra fråga: säkerhet i leveranskedjan nämns som en separat del i artikel 21 punkt 2 i NIS2, tillsammans med de övriga nio åtgärderna som riskanalys, incidenthantering och åtkomstkontroll. Den kund som ställer denna fråga kontrollerar om ditt företag också blickar bakåt i kedjan: inte bara din egen säkerhet, utan också säkerheten hos de parter du är beroende av. Det överensstämmer med säkerhetskrav som företaget själv ställer på sina leverantörer — samma princip, ett steg längre i kedjan.

I praktiken brukar man fråga om tre saker: har du en policy eller process för att bedöma leverantörer utifrån cybersäkerhet, ställer du avtalsvillkor (tänk på anmälningsplikt vid incidenter, miniminivåer för säkerhet), och övervakar du detta även efter kontraktets undertecknande. Om du inte har denna process är "nej" med en kort förklaring ett utmärkt svar — bättre än ett "ja" som du inte kan underbygga. Har du en leverantörbedömning men ingen separat cyberdel, precisera det då exakt så: beviset måste överensstämma med vad du anger. Ett ISO 27001-certifikat med Annex A täcker vanligtvis detta område, så om företaget är ISO 27001-certifierat är det ofta det snabbaste beviset att presentera.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

De tio åtgärderna i artikel 21 punkt 2 i NIS2 nämner kedjsäkerhet som en separat punkt, skild från den allmänna riskanalysen. ISO/IEC 27001 utvecklar detta vidare i kontrollåtgärderna i Annex A, specifikt inriktat på leverantörsrelationer och de krav du ställer på dessa. Cybersäkerhetslag implementerar denna skyldighet i svensk rätt och träder i kraft den 15 augusti 2026 — för närvarande är EU-direktivet i sig källan, och kunden frågar ofta redan förebyggande härtill.