vår kund omfattas av NIS2 och ställer nu krav på oss, vad innebär det

Er kund överför de tio åtgärderna från artikel 21 till er

Det innebär att ni blir en del av leverantörskedjeansatsen som artikel 21 stycke 2 i NIS2 föreskriver. En enhet som omfattas av NIS2 måste själv vidta "säkerhetsmåtregader i leverantörskedjan" — punkt (d) i det stycket — och det gör er kund genom att lägga fram de krav som han ställer på sig själv även för er. Ni blir alltså inte själva NIS2-skyldiga på grund av denna frågelista; ni får effekterna av er kunds skyldighet på er. Huruvida ni själva omfattas av direktivet är en separat fråga — som ni besvarar separat, till exempel med förklaringen om eller om företaget självt omfattas av NIS2-direktivet.

I praktiken översätter frågelistan artikel 21 stycke 2 till enskilda frågor: har ni riskanalys och policy för informationssäkerhet, hur hanterar ni incidenter, hur ser det ut med säkerhetskopior och återställning, hur hanterar ni åtkomst och använder ni flerfaktorsautentisering, och — den bestämmelse som er kund just nu tillämpar på er — ställer ni själva också krav på era leverantörer. För varje punkt finns en separat förklaring i kunskapsbasen, som policy för riskanalys och säkerhet i informationssystem och säkerhetskrav på egna leverantörer. Har ni redan ett ISO 27001-certifikat täcker det en stor del av dessa frågor på en gång.

Där det står i direktivet: artikel 21 punkt 2

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 anger de tio åtgärderna ordagrant, från policy för riskanalys (a) till säkerhet vid anskaffning av produkter och tjänster och leverantörsrelationen (d), till åtkomstkontroll och flerfaktorsautentisering (j). Nederländernas cyberlag genomför detta direktiv i nationell rätt och träder i kraft den 15 augusti 2026; fram till det datumet kan er kund redan förlägga sin egen beredning på er, även utan att lagen redan gäller. Den som känner igen de tio åtgärderna som separata Annex A-kontroller från ISO/IEC 27001 kan ta många svar direkt från ett befintligt ISMS.