Ställer företaget säkerhetskrav på sina egna leverantörer?

Leverantörskedjan är ett av de tio åtgärderna

Ja, i de flesta fall är det relevant att besvara denna fråga med hänvisning till konkret leverantörspolicy, inte med allmän försäkran. Frågan kommer direkt från artikel 21 punkt 2 i NIS2-direktivet, där "säkerhet för leverantörskedjan" står som en separat punkt tillsammans med de nio andra åtgärderna. Kunden vill alltså inte veta om ni själva är väl skyddade, utan om ni ställer detta krav även på de parter ni är beroende av: hostingleverantörer, programvaruleverantörer, IT-tjänsteleverantörer.

Konkret handlar det om frågor som: finns det säkerhetskrav i kontrakten med kritiska leverantörer, genomförs granskning vid upphandling eller onboarding av säkerhetsnivå, och finns det överblick över beroenden längre fram i kedjan. Ett företag som själv har en informationssäkerhetspolicy — se även frågan om policy för riskanalys och säkring av informationssystem — har ofta redan en ram där leverantörsbedömning är en fast del. Om denna saknas är "nej" eller "delvis" ett ärligt svar; ett löfte om vad som borde hända ligger inte på oss.

Där detta står i artikel 21 punkt 2 NIS2

Artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner säkerhet för leverantörskedjan som en av de tio åtgärder som en enhet måste vidta, inklusive uppmärksamhet på relationen mellan enheten och dess direkta leverantörer eller tjänsteleverantörer. Denna punkt hänger ofta ihop med andra åtgärder från samma lista: en leverantör som inte rapporterar säkerhetsbristerna påverkar även processen för att upptäcka och åtgärda säkerhetsbristerna, och en incident hos en leverantör måste följas samma väg som en incident i företaget själv. Huruvida denna fråga överhuvudtaget är obligatorisk beror på om företaget själv omfattas av direktivet — det är en separat fråga med ett eget svar.