NIS2 för leverantörer: du är inte utpekad, men dina kunder är det

Hur NIS2 når en leverantör som aldrig pekades ut

NIS2 gäller direkt endast organisationer som den klassar som väsentliga eller viktiga aktörer, efter sektor och storlek. Om du inte är någon av dem skickar ingen nationell myndighet något föreläggande till dig. Här slutar många leverantörer läsa, och här börjar missförståndet.

Direktivet reglerar inte dina leverantörers leverantörer direkt. I stället gör det varje aktör som omfattas ansvarig för cybersäkerhetsrisken i sin egen leveranskedja (artikel 21.2 d). För att fullgöra den skyldigheten måste dina kunder bedöma, ställa krav på och övervaka säkerheten hos de leverantörer de är beroende av. Om du är en av dem blir deras rättsliga skyldighet din kommersiella. Du dras in indirekt, via relationen snarare än via en utpekning.

Vad din kund som omfattas måste göra, och varför det hamnar hos dig

Artikel 21.2 d kräver att väsentliga och viktiga aktörer hanterar leveranskedjesäkerhet, inklusive de säkerhetsrelaterade aspekterna av förhållandet mellan varje aktör och dess direkta leverantörer eller tjänsteleverantörer. I praktiken måste din kund:

• Identifiera vilka leverantörer som är kritiska för dess tjänster och bedöma den cyberrisk var och en medför.
• Ställa säkerhetskrav på dessa leverantörer och skriva in dem i avtal och personuppgiftsbiträdesavtal.
• Kontrollera att kraven uppfylls, inte en gång vid onboarding utan löpande.
• Stå till svars för incidenter som uppstår hos en leverantör, eftersom en leverantörsorsakad störning enligt NIS2 fortfarande är kundens incident att hantera och anmäla.
• Visa sin tillsynsmyndighet bevis på att denna leverantörstillsyn verkligen sker.

Vad dina kunder kommer att begära av dig

När denna tillsyn mognar närmar sig de förfrågningar som hamnar hos leverantörer en igenkännbar uppsättning:

• Ett säkerhetsfrågeformulär eller en självutvärdering, ofta kopplad till åtgärderna i artikel 21.2 eller till en standard som ISO 27001.
• Bevis bakom svaren: policyer, certifikat och färska test- eller skanningsresultat snarare än ostyrkta påståenden.
• En klausul om incidentanmälan som förbinder dig att snabbt larma kunden när något berör den, så att den hinner med sina egna anmälningsfrister.
• Avtalsmässiga säkerhetskrav och, för kritiska leverantörer, en rätt att granska eller begära oberoende försäkran.
• Godtagande av löpande extern övervakning, eftersom ett punktformulär ifyllt förra året inte längre uppfyller en löpande skyldighet.

Åtgärderna i artikel 21.2 som dina kunder förväntar sig av dig

Även om artikel 21.2 binder din kund och inte dig är dess tio åtgärder den mall de flesta köpare återanvänder när de ställer krav på leverantörer. Det lönar sig att kunna visa, på ditt eget proportionerliga sätt, att du hanterar var och en:

Incidentanmälan går åt båda hållen

NIS2 ger aktörer som omfattas en snäv tidtabell: en tidig varning inom 24 timmar, en mer fullständig anmälan inom 72 timmar och en slutrapport inom en månad (artikel 23). De klarar inte den om en leverantör sitter på dåliga nyheter. Därför kräver deras avtal allt oftare att du underrättar dem utan dröjsmål när en incident berör, eller kan beröra, de tjänster du levererar till dem.

För en icke utpekad leverantör är den praktiska följden enkel: du behöver en egen incidentprocess, med tydlig intern eskalering och ett definierat sätt att informera berörda kunder, så att ett problem på din sida inte blir en missad frist på deras. En leverantör som upptäcker, begränsar och kommunicerar väl är mycket lättare att behålla än en som tystnar.

Ett krav värt att behandla som en fördel

Det är lätt att läsa allt detta som en börda från någon annans reglering. De leverantörer som lyckas bäst läser det tvärtom. När fler köpare omfattas av NIS2 och skärper sina leveranskedjekontroller blir förmågan att besvara ett säkerhetsfrågeformulär snabbt och med bevis en anledning att vinna och behålla affärer, snarare än ett hinder att ta sig över.

Det omvända är lika sant och tystare: leverantörer som inte kan visa sin hållning sållas allt oftare bort i upphandlingen, ofta utan att få veta varför. Att ligga steget före frågorna, innan en kund frågar, förvandlar NIS2 från en efterlevnadskostnad till en säljtillgång.

Så svarar du trovärdigt

Du behöver inte bli en väsentlig aktör över en natt. Du behöver vara redo för frågorna och kunna styrka dina svar. En proportionerlig väg:

• Känn först din egen externa hållning: domäner, certifikat, e-postautentisering, exponerade tjänster och kända sårbarheter, alltså just det en kunds bedömning kommer att granska.
• Täpp till de vanliga luckor som frågeformulär och skanningar lyfter fram: tvinga TLS 1.2+, publicera SPF, DKIM och DMARC, uppdatera snabbt, kräv MFA och ta bort exponerade admingränssnitt.
• Skriv ner grunderna: en kort informationssäkerhetspolicy, en incidentprocess och en notering om vem som ansvarar för säkerheten. Bevis slår påstående.
• Håll dina svar aktuella. Behandla försäkran som löpande, för det är allt oftare så dina kunder behandlar den.
• Om du betjänar större eller reglerade köpare, överväg ISO 27001 eller motsvarande som en erkänd genväg, men vänta inte på den för att börja.

Så hjälper norppa.io

norppa.io ger en icke utpekad leverantör samma löpande, bevisstödda bild av sin säkerhet som en NIS2-kund nu förväntar sig att se. Dina domäner kontrolleras över mer än hundra kontrollpunkter dagligen, de tidskänsliga var sjätte timme, och varje fynd kopplas till den NIS2-artikel det rör, så att du kan besvara ett frågeformulär med aktuella bevis i stället för påståenden.

Självutvärderingsformuläret fångar dina process- och avtalskontroller, och varje svar ställs mot den live tekniska profilen, så att du när en kunds inköpsteam ber om bevis kan lämna en tydlig, styrkt bild i stället för ett kalkylblad som stämde förra våren.