NIS2 og leverandørsikkerhed: en praktisk tjekliste til din leverandørliste
De fleste sikkerhedshændelser, der havner i nyhederne, starter ikke i den virksomhed, der bliver ramt. De starter hos en leverandør: en driftsleverandør, en lønplatform, en softwareopdatering fra en leverandør, alle stolede på. NIS2, EU's opdaterede direktiv om cybersikkerhed, tager det alvorligt. Det spørger ikke kun, om dine egne systemer er sikre. Det spørger, om du styrer den sikkerhedsrisiko, der kommer fra dine leverandører.
Er din organisation omfattet, er det ikke længere nok at sige "vi har en kontrakt med dem". Du skal kunne vise, at du har vurderet leverandøren, stillet krav og bliver ved med at følge op. Denne artikel forklarer, hvad det betyder i praksis, og giver dig en tjekliste, du kan arbejde dig igennem.
NIS2 i Danmark
I Danmark gælder NIS2 gennem NIS2-loven, der trådte i kraft 1. juli 2025, med særregler for blandt andet energi og tele. Tjek de danske myndigheders vejledning for præcis, hvordan reglerne gælder for jer.
Hvad NIS2 faktisk siger om leverandører
NIS2-direktivet (EU) 2022/2555 kræver, at omfattede organisationer træffer foranstaltninger til at styre cybersikkerhedsrisici, og sikkerhed i leverandørkæden er udtrykkeligt nævnt blandt dem (artikel 21), herunder sikkerhedsaspekterne i forholdet til hver direkte leverandør og tjenesteudbyder. Når foranstaltningerne vælges, skal organisationen tage højde for hver leverandørs sårbarheder, kvaliteten af produkterne og sikkerhedspraksis, og hvor sikker udviklingsprocessen er.
To andre dele af direktivet ændrer, hvordan det rammer en virksomhed. For det første skal ledelsen godkende foranstaltningerne og følge op på dem, og den kan holdes ansvarlig (artikel 20). Leverandørrisiko er dermed et emne for bestyrelsen, ikke kun for IT. For det andet er sanktionerne betydelige: op til 10 millioner euro eller 2 % af den globale årsomsætning for væsentlige enheder, og op til 7 millioner euro eller 1,4 % for vigtige enheder.
Er din virksomhed omfattet?
NIS2 dækker langt flere sektorer end de oprindelige NIS-regler: energi, transport, bank, sundhed, digital infrastruktur, IKT-tjenester, offentlig forvaltning og en lang liste af "andre kritiske sektorer" som fremstilling, fødevarer, posttjenester og affaldshåndtering. Som tommelfingerregel er mellemstore og store organisationer i disse sektorer omfattet. Og selv om du ikke er, kan dine kunder være det. Omfattede virksomheder sender kravene videre ned i leverandørkæden, så du vil sandsynligvis få de samme spørgsmål.
Sådan ser styring af leverandørrisiko ud i praksis
Vid, hvem dine leverandører er. Det lyder indlysende, men de fleste virksomheder kan ikke lave en komplet liste over leverandører med adgang til systemer eller data. Kontrakter ligger i mapper, SaaS-værktøjer købes med kort, og AI-værktøjer tages i brug af enkelte teams. Du kan ikke vurdere det, du ikke har listet.
Rangér dem efter risiko. Ikke alle leverandører kræver samme grundighed. En leverandør med administratoradgang til produktionsmiljøet kræver langt mere opmærksomhed end kaffeabonnementet på kontoret. Rangér leverandørerne efter, hvad de berører, og hvad der stopper, hvis de svigter, og brug tiden derefter.
Saml dokumentation, ikke løfter. Bed om en SOC 2 Type II-rapport eller et ISO 27001-certifikat, og læs det. Omfanget og afvigelserne i en SOC 2-rapport siger langt mere end forsiden. Notér datoerne, for begge udløber.
Skriv det ind i kontrakten. Frister for at underrette om hændelser, sikkerhedsforpligtelser, revisionsret og hvad der sker med dine data, når samarbejdet slutter. Står det ikke i kontrakten, bliver det svært at håndhæve.
Bliv ved med at følge op. Et certifikat, der var gyldigt ved underskrift, kan være udløbet et år senere. Sæt udløbsdatoer i kalenderen, gennemgå højrisikoleverandører mindst én gang om året, og tjek igen, når en leverandør skifter produkt eller ejer.
Dokumentér alt. Når en myndighed eller revisor spørger, hvordan du styrer leverandørrisiko, er svaret en log: hvem der vurderede hvilken leverandør, hvornår, hvilken dokumentation de så, og hvad der blev besluttet. At genskabe det fra mailtråde bagefter er tungt og ikke særlig overbevisende.
En tjekliste du kan arbejde dig igennem
Vi har gjort det til en praktisk tjekliste til leverandørvurdering (på engelsk), du kan printe. Den dækker hele livscyklussen, fra den første anmodning til afvikling, med NIS2-punkterne markeret sammen med AI-forordningen, GDPR og DORA. Den er gratis, og den er en god måde at finde hullerne i din nuværende proces.
Hvor Granur kommer ind
Granur giver hver leverandør samme indgang: en risikobaseret vurdering før godkendelse, opfølgning på sikkerhed og certifikater med påmindelser, før de udløber, og et sikkert link, hvor leverandørerne selv uploader SOC 2-rapporter og certifikater, så du slipper for at rykke på mail. Forpligtelser og fornyelsesdatoer hentes automatisk ud af kontrakterne, og hver beslutning bliver logget. Det er den dokumentation, NIS2 forventer, at du kan fremvise.