NIS2 og leverandørsikkerhet: en praktisk sjekkliste for leverandørlisten
De fleste sikkerhetshendelser som havner i nyhetene, starter ikke i selskapet som rammes. De starter hos en leverandør: en driftsleverandør, en lønnsplattform, en programvareoppdatering fra en leverandør alle stolte på. NIS2, EUs oppdaterte direktiv om cybersikkerhet, tar dette på alvor. Det spør ikke bare om dine egne systemer er sikre. Det spør om du styrer sikkerhetsrisikoen som kommer fra leverandørene dine.
Er virksomheten omfattet, holder det ikke lenger å si "vi har en kontrakt med dem". Du må kunne vise at du har vurdert leverandøren, stilt krav og fortsetter å følge opp. Denne artikkelen forklarer hva det betyr i praksis, og gir deg en sjekkliste du kan jobbe deg gjennom.
Hvor Norge står
NIS2 er ikke en del av EØS-avtalen ennå. I Norge gjelder digitalsikkerhetsloven, som gjennomfører de tidligere NIS-reglene, og NIS2 skal gjennomføres gjennom endringer i den. Det er ikke satt noen dato. Likevel er dette relevant allerede nå: kunder i EU er omfattet i dag, og norske kunder forbereder seg. Vi går gjennom det i artikkelen om de nye norske kravene til teknologi- og KI-leverandører.
Hva NIS2 faktisk sier om leverandører
NIS2-direktivet (EU) 2022/2555 krever at virksomheter som er omfattet, setter i verk tiltak for å styre cybersikkerhetsrisiko, og sikkerhet i leverandørkjeden er nevnt uttrykkelig blant dem (artikkel 21), også sikkerhetsaspektene ved forholdet til hver direkte leverandør og tjenesteyter. Når tiltakene velges, skal virksomheten ta hensyn til hver leverandørs sårbarheter, kvaliteten på produktene og sikkerhetspraksisen, og hvor sikker utviklingsprosessen er.
To andre deler av direktivet endrer hvordan dette treffer et selskap. For det første må ledelsen godkjenne tiltakene og følge dem opp, og den kan holdes ansvarlig (artikkel 20). Leverandørrisiko er dermed et tema for styret, ikke bare for IT. For det andre er sanksjonene betydelige: opptil 10 millioner euro eller 2 % av global årsomsetning for vesentlige enheter, og opptil 7 millioner euro eller 1,4 % for viktige enheter.
Er selskapet omfattet?
NIS2 dekker langt flere sektorer enn de opprinnelige NIS-reglene: energi, transport, bank, helse, digital infrastruktur, IKT-tjenester, offentlig forvaltning og en lang liste med "andre kritiske sektorer" som industri, mat, posttjenester og avfallshåndtering. Som tommelfingerregel er mellomstore og store virksomheter i disse sektorene omfattet. Og selv om du ikke er det, kan kundene dine være det. Virksomheter som er omfattet, sender kravene nedover i leverandørkjeden, så du vil sannsynligvis få de samme spørsmålene.
Slik ser styring av leverandørrisiko ut i praksis
Vit hvem leverandørene dine er. Det høres selvsagt ut, men de fleste selskaper klarer ikke å lage en komplett liste over leverandører med tilgang til systemer eller data. Kontrakter ligger i mapper, SaaS-verktøy kjøpes med kort, og KI-verktøy tas i bruk av enkeltteam. Du kan ikke vurdere det du ikke har listet opp.
Ranger dem etter risiko. Ikke alle leverandører trenger samme grundighet. En leverandør med administratortilgang til produksjonsmiljøet trenger langt mer oppmerksomhet enn kaffeabonnementet på kontoret. Ranger leverandørene etter hva de berører, og hva som stopper hvis de svikter, og bruk tiden deretter.
Samle dokumentasjon, ikke løfter. Be om en SOC 2 Type II-rapport eller et ISO 27001-sertifikat, og les det. Omfanget og avvikene i en SOC 2-rapport sier langt mer enn forsiden. Merk deg datoene, for begge går ut.
Skriv det inn i kontrakten. Frister for å varsle hendelser, sikkerhetsforpliktelser, revisjonsrett og hva som skjer med dataene dine når forholdet avsluttes. Står det ikke i kontrakten, blir det vanskelig å håndheve.
Fortsett å følge opp. Et sertifikat som var gyldig ved signering, kan ha gått ut ett år senere. Før opp utløpsdatoer, gå gjennom høyrisikoleverandører minst én gang i året, og sjekk på nytt når en leverandør endrer produkt eller eier.
Dokumenter alt. Når en tilsynsmyndighet eller revisor spør hvordan du styrer leverandørrisiko, er svaret en logg: hvem som vurderte hvilken leverandør, når, hvilken dokumentasjon de så, og hva som ble besluttet. Å bygge dette opp igjen fra e-posttråder i ettertid er tungt og lite overbevisende.
En sjekkliste du kan jobbe deg gjennom
Vi har gjort dette om til en praktisk sjekkliste for leverandørvurdering (på engelsk) du kan skrive ut. Den dekker hele livsløpet, fra første forespørsel til avslutning, med NIS2-punktene merket sammen med KI-forordningen, GDPR og DORA. Den er gratis, og den er en god måte å finne hullene i prosessen du har i dag.
Der Granur kommer inn
Granur gir hver leverandør samme inngang: en risikobasert vurdering før godkjenning, oppfølging av sikkerhet og sertifikater med varsler før de går ut, og en sikker lenke der leverandørene selv laster opp SOC 2-rapporter og sertifikater, så du slipper å purre på e-post. Forpliktelser og fornyelsesdatoer hentes ut av kontraktene automatisk, og hver beslutning blir logget. Det er dokumentasjonen NIS2 forventer at du kan vise frem.