Vad förändras i år på er klients cybersäkerhetsfrågeformulär?
Cybersäkerhetsfrågeformulären som avnämare skickar till sina leverantörer ändras på två sätt. För det första blir frågorna mer konkreta: i stället för en allmän ja/nej-fråga om säkerhetspolicy frågar allt fler avnämare om en kort motivering eller ett bevisföring per område. För det andra når dessa listor en bredare grupp företag, även företag som själva inte direkt omfattas av NIS2-direktivet.
Anledningen är enkelt. Företag som omfattas av direktivet måste enligt texten i NIS2 också granska säkerheten hos sina underleverantörer. Det genomför de i sina egna frågeformulär, och på så sätt når frågan företag som är längre ner i värdekedjan. Huruvida det även gäller ert företag beror på vilka era kunder är och vad de ställer till er; det är bäst att du frågar kunden själv eller kontrollerar med ett par frågor som ger er snabb insikt.
Varför frågorna blir mer detaljerade
NIS2-direktivet från EU beskriver tio kategorier av åtgärder som organisationer som omfattas av direktivet måste arbeta med, såsom riskhantering, åtkomstpolicy och hantering av incidenter. Avnämare som själva måste redovisa dessa åtgärder kan bara göra det om de även vet hur deras leverantörer hanterar dem. Det förklarar varför formulär som tidigare ställde en bred fråga nu ställer en separat fråga per kategori, ofta med begäran om ett kort bevis.
Denna övergång från allmänna frågor till specifika frågor per åtgärd är ingen engångsförändring. Avnämare anpassar sin egen portal och format i takt med att de själva får mer klarhet om vad som förväntas av dem. För er som leverantör innebär det här att samma kund nästa år kan skicka en något annorlunda lista, även om ingenting förändrats hos er själva.
Vilka detta år påverkas
Direktivet i sig riktar sig mot organisationer i specifika sektorer och från en viss storlek. Huruvida ett företag omfattas av det beskrivs i direktivet och den nationella lag som implementerar det; det är något att kontrollera med en jurist eller tillsynsmyndigheten, inte något som bara kan utläsas från ett frågeformulär. Det som i praktiken är märkbart: även företag som inte själva omfattas av direktivet får frågor vidarebefordrade eftersom deras kund måste göra det.
Denna kaskadeffekt är den viktigaste praktiska förändringen i år. Ett installationsföretag som underhåller programvara för en energileverantör, eller en IT-tjänsteleverantör som arbetar för ett sjukhus, kan få ett mer detaljerat frågeformulär utan att eget företag själv omfattas av direktivet. Bakgrunden till de tio åtgärderna och vad de exakt innebär är utförligt beskriven i kunskapsbanken med förklaringar per ämne.
Vad som ännu inte är fastslaget
Direktivet skulle ursprungligen ha implementerats i nationell lagstiftning i medlemsstaterna i oktober 2024. I nederländerna pågår denna lagstiftningsprocess fortfarande, och den exakta formen och tidpunkten då den nationella lagen helt träder i kraft var ännu inte definitivt fastslaget vid tidpunkten för skrivandet. Det innebär att de exakta skyldigheterna för organisationer som omfattas av lagen, och de tidsfrister som är kopplade till dem, fortfarande kan ändras. För aktuell information är direktivtexten själv och informationen från tillsynsmyndigheten den lämpliga källan, inte ett frågeformulär eller en nyhetsartikel.
Hur du hanterar detta utan att börja på nytt varje år
Eftersom frågorna per köpare och per år kan skifta något, hjälper det att registrera den underliggande informationen en gång ordentligt och fylla i varje ny lista utifrån den. Det förhindrar att du börjar från noll varje gång du får en ny frågelista, även om frågeställningen är formulerad lite annorlunda än förra året. Hur det fungerar i praktiken beskrivs på sidan var informationen kommer från.
Om du är osäker på eller har en specifik fråga om huruvida en fråga i en lista är tillämplig på ditt företag eller inte, är det något att diskutera med köparen själv eller med en rådgivare. En översikt över vanliga frågor om den här typen av listor finns på sidan vanliga frågor om frågelistor.
Slutligen
Kärnan i förändringen i år är inte att en ny skyldighet uppstår, utan att befintliga skyldigheter går längre ut i kedjan och efterfrågas mer konkret. Om du snabbt vill veta var ditt företag står för närvarande, gör då den kostnadsfria snabbgranskningen eller läs de andra ämnena i kunskapsbanken.