enkäten frågar hur vi kartlägger risker i vår kedja

Leverantörsrisker berör två olika frågor

Frågan om supply chain-risker handlar i praktiken om två saker samtidigt, och frågorna gör ofta inte denna åtskillnad explicit. För det första: har företaget själv insyn i risker som kommer via dess egna leverantörer och tjänsteleverantörer — tänk på en IT-leverantör med åtkomst till nätverket, eller en mjukvarukomponent från en tredje part. För det andra: ställer företaget krav på dessa leverantörer, och kontrollerar det dem. Den andra punkten överlappar med frågan om företaget ställer säkerhetskrav på sina egna leverantörer — ofta är det bokstavligen samma fråga, bara återställd på annat ställe i listan med andra ord.

Den som är certifierad enligt ISO/IEC 27001 kan vanligtvis hänvisa till kontrollåtgärderna för leverantörsrelationer i Annex A — de finns specifikt för denna del, och en revisor har redan bedömt dem. Utan certifikat är svaret inte automatiskt "nej": det relevanta är om det finns en riskanalys där leverantörer har beaktats som en uppmärksamhetspunkt, även om den är informell. Det motsvarar den bredare frågan om policy för riskanalys, där leverantörsrisker typiskt utgör ett avsnitt, inte ett separat dokument. Om ingenting är dokumenterat är "nej" det ärliga svaret — att förespegla ett ja utan att det finns en riskanalys, avtalsklausul eller leverantörsöversikt som grund för det, håller inte om kunden frågar efter dokumentationen.

Ursprung: artikel 21 punkt 2 NIS2

Leverantörssäkerhet nämns som en separat del i artikel 21 punkt 2 i NIS2-direktivet, bland de tio åtgärder som anges där. För den som själv omfattas av direktivet — eller snart omfattas av cyberlagstiftningen, den nederländska omfattningen som träder i kraft den 15 augusti 2026 — är detta ingen valfri del utan en av de obligatoriska åtgärderna. För den som inte omfattas, men ändå får frågan från en kund, är det vanligtvis en vidarebäring av samma krav: kunden måste själv kunna påvisa att den behärskar sin leverantörskedja, och ställer därför denna fråga vidare.