enkäten frågar efter risker i vår leveranskedja, vad innebär det

Leveranskedjrisker är säkerheten hos dina egna leverantörer

Leveranskedjrisker handlar om de leverantörer och tjänsteleverantörer som du anlitar, och huruvida de utgör ett säkerhetshål för din kunds säkerhet. Frågan kommer inte från intet: det är en bokstavlig åtgärd från artikel 21 stycke 2 i NIS2, punkt d, som uttryckligen handlar om säkerheten i leveranskedjan, inklusive relationen med leverantörer. Din kund måste kunna visa att han har ställt denna fråga till sina egna leverantörer — alltså till dig. Därför finns frågan i listan.

I praktiken ställs två saker samtidigt. Ett: har du själv överblick över de risker som dina kritiska leverantörer (hosting, programvara, IT-förvaltning) medför? Två: ställer du själv krav på dessa leverantörer, avtalsbaserat eller på annat sätt? Det andra överlappar med frågan om dina egna leverantörer måste uppfylla säkerhetskrav — ofta är det bokstavligen samma fråga i en annan form, så kontrollera först om du redan har besvarat den. Om du inte har någon formell leverantörspolicy är ett ärligt "nej, inte ännu" mer exakt än ett svar som lovar mer än vad som finns.

Kan hänföras till artikel 21 stycke 2 punkt d i NIS2

Denna fråga följer direkt från de tio åtgärderna i artikel 21 stycke 2 i direktiv (EU) 2022/2555, där säkerheten i leveranskedjan är en separat del (punkt d) vid sidan om riskanalys och incidenthantering. I Cybersäkerhetslagens, den nederländska omfattningen som träder i kraft den 15 augusti 2026, återkommer denna åtgärd för de enheter som omfattas av lagen. Den som arbetar med ISO/IEC 27001 känner igen samma krav i Annex A under kontrollåtgärder för leverantörsrelationer. Huruvida din organisation själv omfattas av denna förpliktelse beror på huruvida organisationen som enhet omfattas av NIS2 eller den nationella omfattningen — det avgör om detta är en förpliktelse för dig eller bara en fråga som din kund skickar vidare till dig.