NIS2 och leverantörssäkerhet: en praktisk checklista för din leverantörslista
De flesta säkerhetsincidenter som hamnar i nyheterna börjar inte i företaget som drabbas. De börjar hos en leverantör: en driftleverantör, en lönetjänst, en programuppdatering från en leverantör alla litade på. NIS2, EU:s uppdaterade direktiv om cybersäkerhet, tar det på allvar. Det frågar inte bara om dina egna system är säkra. Det frågar om du hanterar säkerhetsrisken som kommer från dina leverantörer.
Omfattas din organisation räcker det inte längre att säga "vi har ett avtal med dem". Du behöver kunna visa att du har bedömt leverantören, ställt krav och fortsätter att följa upp. Den här artikeln förklarar vad det betyder i praktiken och ger dig en checklista att arbeta igenom.
NIS2 i Sverige
I Sverige gäller NIS2 genom cybersäkerhetslagen (2025:1506), som trädde i kraft i januari 2026. Kontrollera tillsynsmyndighetens vägledning för exakt hur reglerna gäller för er.
Vad NIS2 faktiskt säger om leverantörer
NIS2-direktivet (EU) 2022/2555 kräver att organisationer som omfattas vidtar åtgärder för att hantera cybersäkerhetsrisker, och säkerhet i leverantörskedjan nämns uttryckligen bland dem (artikel 21), inklusive säkerhetsaspekterna i förhållandet till varje direkt leverantör och tjänsteleverantör. När åtgärderna väljs ska organisationen beakta varje leverantörs sårbarheter, kvaliteten på produkterna och säkerhetsarbetet samt hur säker utvecklingsprocessen är.
Två andra delar av direktivet ändrar hur det här landar i ett företag. För det första måste ledningen godkänna åtgärderna och följa upp dem, och den kan hållas ansvarig (artikel 20). Leverantörsrisk är därmed en fråga för styrelsen, inte bara för IT. För det andra är sanktionerna betydande: upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga verksamhetsutövare, och upp till 7 miljoner euro eller 1,4 % för viktiga verksamhetsutövare.
Omfattas ditt företag?
NIS2 täcker långt fler sektorer än de ursprungliga NIS-reglerna: energi, transport, bank, hälso- och sjukvård, digital infrastruktur, IT-tjänster, offentlig förvaltning och en lång lista med "andra kritiska sektorer" som tillverkning, livsmedel, posttjänster och avfallshantering. Som tumregel omfattas medelstora och stora organisationer i de här sektorerna. Och även om du inte gör det kan dina kunder göra det. Organisationer som omfattas för kraven vidare i leverantörskedjan, så du kommer troligen att få samma frågor.
Så ser hantering av leverantörsrisk ut i praktiken
Vet vilka dina leverantörer är. Det låter självklart, men de flesta företag kan inte ta fram en komplett lista över leverantörer med åtkomst till system eller data. Avtal ligger i mappar, SaaS-verktyg köps med kort och AI-verktyg införs av enskilda team. Du kan inte bedöma det du inte har listat.
Rangordna dem efter risk. Alla leverantörer behöver inte samma granskning. En leverantör med adminbehörighet till produktionsmiljön behöver långt mer uppmärksamhet än kaffeabonnemanget på kontoret. Rangordna leverantörerna efter vad de berör och vad som stannar om de fallerar, och lägg tiden därefter.
Samla underlag, inte löften. Be om en SOC 2 Type II-rapport eller ett ISO 27001-certifikat, och läs det. Omfattningen och avvikelserna i en SOC 2-rapport säger långt mer än försättsbladet. Notera datumen, för båda går ut.
Skriv in det i avtalet. Tidsfrister för att anmäla incidenter, säkerhetsåtaganden, revisionsrätt och vad som händer med dina data när samarbetet upphör. Står det inte i avtalet blir det svårt att få igenom.
Fortsätt att följa upp. Ett certifikat som var giltigt vid signering kan ha gått ut ett år senare. Lägg in utgångsdatum i kalendern, granska högriskleverantörer minst en gång om året och kontrollera igen när en leverantör byter produkt eller ägare.
Dokumentera allt. När en tillsynsmyndighet eller revisor frågar hur du hanterar leverantörsrisk är svaret en logg: vem som bedömde vilken leverantör, när, vilket underlag de såg och vad som beslutades. Att bygga upp det i efterhand ur mejltrådar är tungt och föga övertygande.
En checklista att arbeta igenom
Vi har gjort om det här till en praktisk checklista för leverantörsbedömning (på engelska) som du kan skriva ut. Den täcker hela livscykeln, från första förfrågan till avveckling, med NIS2-punkterna markerade tillsammans med AI-förordningen, GDPR och DORA. Den är kostnadsfri och ett bra sätt att hitta luckorna i din nuvarande process.
Där Granur kommer in
Granur ger varje leverantör samma ingång: en riskbaserad bedömning före godkännande, uppföljning av säkerhet och certifikat med påminnelser innan de går ut, och en säker länk där leverantörerna själva laddar upp SOC 2-rapporter och certifikat, så att du slipper jaga dem via mejl. Åtaganden och förnyelsedatum hämtas automatiskt ur avtalen, och varje beslut loggas. Det är det underlag NIS2 förväntar sig att du kan visa upp.