Guide · 11 min läsning
NIS2 och leveranskedjans säkerhet: vad artikel 21(2)(d) faktiskt kräver
Ditt eget försvar kan vara felfritt och ändå sakna betydelse om leverantören med en VPN-tunnel in i ditt nätverk komprometteras en stilla tisdag. Det är just den luckan som NIS2:s artikel 21(2)(d) täpper till: den gör dig ansvarig för den cyberrisk dina leverantörer bär, inte bara för risken innanför dina egna väggar. Tidsfristen för införlivande den 17 oktober 2024 har passerat, medlemsstaterna färdigställer sina nationella lagar i olika takt, och de första tillsynsåtgärderna har inletts. Detta är den praktiska versionen av regeln: vem som berörs, vad artikeln kräver konkret, och hur du tar fram bevis som en tillsynsmyndighet faktiskt godtar.
Viktigaste punkterna
- Artikel 21(2)(d) gör dina leverantörers cyberrisk till ditt problem och hanteringen av den till ditt ansvar.
- Ett frågeformulär som besvaras en gång om året beskriver en enda dag. En leverantör kan drabbas av utpressningsprogram, intrång eller en kritisk sårbarhet dagen efter att de skickat in det.
- När myndigheten frågar är svaret dokument: vem du övervakar, vad du hittade, vad du gjorde och vilken risk du medvetet accepterade, var och en daterad.
Vem berörs av detta?
NIS2 delar in de organisationer som omfattas i två nivåer, efter sektor och storlek. Skyldigheten att hantera leverantörsrisk är densamma för båda. Det som skiljer är hur nära du övervakas och hur stora sanktionerna kan bli.
Väsentliga entiteter
Energi, transport, bank- och finansmarknadsinfrastruktur, hälso- och sjukvård, dricks- och avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster (B2B), offentlig förvaltning och rymden. Proaktiv tillsyn: revisioner och begäran om information kan ske utan någon incident.
Viktiga entiteter
Post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning av vissa produkter (medicintekniska produkter, elektronik, maskiner, fordon), digitala leverantörer och forskningsorganisationer. Reaktiv tillsyn: myndigheterna ingriper när det finns anledning.
Som regel börjar tröskeln vid 50 anställda, eller 10 miljoner euro i årsomsättning eller balansomslutning. Når du det i en sektor som omfattas är du i regel inom tillämpningsområdet. Vissa entiteter omfattas oavsett storlek, däribland DNS- och toppdomänoperatörer, leverantörer av betrodda tjänster och allmänna kommunikationstjänster samt den enda leverantören av en väsentlig tjänst i ett land.
Det finns en andra, tystare väg in. Säljer du en kritisk tjänst till en kund som omfattas av NIS2 hamnar deras skyldigheter oftast på ditt bord via avtalet: säkerhetsklausuler, ett frågeformulär och en stående rätt att begära bevis. Många små leverantörer möter NIS2 i sin inkorg långt innan någon myndighet skriver till dem.
Officiell källa: NIS2-direktivet på EUR-Lex — artikel 21, med motiveringen om leveranskedjan i skälen 85–90.
Vad artikel 21(2)(d) kräver, konkret
Artikeln själv är en enda mening: vidta lämpliga åtgärder för leveranskedjans säkerhet, inklusive de säkerhetsrelaterade aspekterna av relationen till dina direkta leverantörer. Läst tillsammans med ENISA:s vägledning och hur nationella myndigheter tillämpar den faller den meningen isär i fyra saker du måste kunna visa.
Bedöm en leverantör innan du skriver under
Ett undertecknat frågeformulär är en utgångspunkt, inte ett svar: det registrerar vad leverantören säger om sig själv, inte vad som är sant. Ställ det mot vad du kan verifiera utifrån. Har företaget dykt upp i intrångs- eller utpressningsdata? Finns det oåtgärdade, internetexponerade sårbarheter? Är grunderna på plats, som ett giltigt TLS-certifikat och vettig e-postautentisering? Och se bortom den uppenbara ytterdörren. En leverantörs exponering omfattar hela det externa fotavtrycket: inte bara domänen i avtalet, utan även VPN-gatewayen, e-postreläerna och den bortglömda testservern på ett annat IP-intervall.
Skriv in anmälningsplikten i avtalet
Om en leverantörs incident kan stoppa din tjänst kan du behöva anmäla den till myndigheten inom timmar (se artikel 23 nedan). Det kan du bara om leverantören berättar snabbt. Därför måste skyldigheten stå i skrift: ett definierat tidsfönster för att meddela dig om en säkerhetsincident, en namngiven kontakt som svarar, och en rätt att begära bevis i efterhand. Ett löfte i god tro är värt ingenting klockan två en lördagsnatt.
Fortsätt övervaka under hela relationen
Det är här de flesta program fortfarande misslyckas, eftersom det är en stående vana och inte en engångsuppgift. Måttet lämpliga åtgärder är ingen fast checklista; det skalar med risken, och risken står inte still. Leverantören som klarade granskningen i mars kan ligga på en utpressningsläckage-sida i april och ha anställdas inloggningar till salu i maj. En årlig ögonblicksbild ser inget av det. Kontinuerligt betyder i praktiken att du får veta inom dagar.
Spara bevisen, och datera dem
Förr eller senare ber någon dig bevisa ovanstående: en revisor, en kunds säkerhetsteam, din egen styrelse efter en närapå-händelse. ”Vi håller ett öga på saker” är inte bevis. Det som räknas är ett daterat spår av vad du kontrollerade, hittade och åtgärdade, samt de risker du granskade och valde att acceptera med avsikt.
Varför en årlig granskning inte räcker
En årlig leverantörsrevision, ett frågeformulär och kanske ett certifikat i pärmen, är ett rimligt golv. Det är inte kontinuerlig övervakning, och avståndet mellan de två är precis där incidenter bor. Tre vardagliga sätt det går fel:
En leverantör drabbas av utpressningsprogram i januari. Din granskning gjordes i mars och såg ren ut. Du får veta sanningen i juni, när en leverans tyst glider.
Anställdas inloggningar från en leverantör dyker upp i en infostealer-läcka. Ingen märker det förrän de används för att nå ett system som leverantören kan röra, och därigenom ditt.
En leverantörs TLS-certifikat löper ut och integrationen bryts. Din första varning är ett kundklagomål.
Inget av detta är exotiskt. Det är leveranskedjeriskens vardagsform. Övervakningens uppgift är inte att förutsäga dem, utan att märka dem inom dagar i stället för att rekonstruera dem i en efteranalys.
Se hur dina leverantörer faktiskt presterar
7 dagars gratis · inget kreditkort · avsluta när som helst
Nivåindelning: lägg uppmärksamheten där den räknas
Att övervaka varje leverantör med samma intensitet är varken realistiskt eller förväntat. Att sortera dem efter den åtkomst och påverkan de faktiskt bär är både praktiskt och helt i linje med innebörden av lämpliga åtgärder.
Nivå 1: kritiska
En direkt förbindelse till dina system, data eller produktion. Dessa förtjänar full behandling: ett komplett frågeformulär och kontinuerlig teknisk övervakning. Moln- och hostingleverantörer, ditt affärssystem, utlagda IT- eller säkerhetspartner.
Nivå 2: viktiga
Väsentliga för verksamheten, men utan djup åtkomst till kronjuvelerna. Regelbunden teknisk övervakning och ett lättare frågeformulär är oftast proportionerligt. HR- och marknadsföringsplattformar, logistikpartner.
Nivå 3: låg risk
Liten eller ingen åtkomst till något känsligt. En återkommande genomgång räcker. Kontorsmaterial, städning, catering.
Fjärdepartsrisk: lagret bakom lagret
Din exponering slutar inte vid de leverantörer du skrivit avtal med. Deras leverantörer kan nå dig också. Om din molnleverantör lutar sig mot en enda underleverantör för lagring och den underleverantören attackeras, går störningen rakt nedför kedjan till dig, och du hade aldrig ett avtal med företaget som orsakade den.
Du kan inte övervaka ett företag du inte har någon relation med, så hävstången är frågan du ställer till din direkta leverantör: vet du vilka av dina egna underleverantörer som är kritiska, och håller du dem till samma standard som du går med på med oss? En leverantör som inte kan namnge sina kritiska fjärdeparter har just berättat något värt att veta.
Artikel 23: när en leverantörs incident blir din deadline
Om en leverantörsincident orsakar betydande störning i de tjänster du tillhandahåller är rapporteringsklockan din, inte deras. Den startar en 24-timmars tidig varning till ditt CSIRT eller behörig myndighet, sedan en fylligare incidentanmälan inom 72 timmar och en slutrapport inom en månad, eller en lägesrapport vid månadsgränsen om du fortfarande hanterar den.
Haken är tajmingen. Klockan löper från det att du får kännedom, inte från det att leverantören till slut berättar för dig, och en upplysning som kommer en vecka för sent har redan bränt din deadline. Det enda verkliga försvaret är oberoende insyn i en kritisk leverantörs problem: en utpressningslistning, en läcka av inloggningar, en tjänst som slocknar, utan att vänta på deras e-post.
ENISA:s vägledning: ENISA:s resurser för NIS2-införande — om incidentrapportering och säkerhetsåtgärder; bekräfta exakt kanal med ditt nationella CSIRT.
Vad en revisor faktiskt vill se
Tillsynsmyndigheter väger vad du kan visa, inte vad du påstår. De underlag som oftast avgör:
- Ett leverantörsregister: vilka de är, deras nivå, deras riskklassificering
- Svar på frågeformulär: vart och ett med datum
- Övervakningsloggar: vad som kontrollerades, när och vad som hittades
- Beslut om accepterad risk: ett skriftligt, ägt val för varje risk du noterat och beslutat att leva med
- Ett åtgärdsspår: vad du gjorde åt fynden, och till när
Det outtalade testet är om dessa redan finns. En akt som sätts ihop veckan efter att myndigheten ringt läses oftast precis som en akt som sätts ihop veckan efter att myndigheten ringt.
Tillsyn, och varför styrelsen är ansvarig
NIS2 sätter medvetet cyberrisk på ledningens dagordning. Ledningsorganet måste godkänna riskhanteringsåtgärderna och övervaka dem, och dess ledamöter kan hållas personligt ansvariga när den tillsynen brister (art. 20). Sanktionsavgifterna är inte symboliska: upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för väsentliga entiteter, och upp till 7 miljoner euro eller 1,4 % för viktiga (art. 34); för väsentliga entiteter kan en tillsynsmyndighet till och med tillfälligt upphäva ledningsfunktioner tills saken är åtgärdad. Leveranskedjerisk ingår uttryckligen i de åtgärder ledningen ska övervaka, vilket är det verkliga skälet till att aktuella, dokumenterade bevis på leverantörsövervakning hör hemma i styrelserummet och inte bara i säkerhetsteamets anteckningar.
Officiell källa: NIS2-direktivet på EUR-Lex — artikel 20 (styrning) och artikel 34 (sanktioner).
Var norppa.io passar in
Det är detta arbete norppa.io är byggt för att bära. Varje leverantörsdomän du lägger till kontrolleras mot fler än hundra externa kontroller varje dag, medan utpressnings- och dark web-källor kontrolleras på nytt ungefär var sjätte timme, med en varning i samma stund något kritiskt dyker upp. Varje fynd kopplas till relevant NIS2-artikel när det registreras, rapporten är skriven för ledningen lika väl som för ingenjörer, och hela historiken exporteras till CSV när en revisor frågar.
Självbedömningsformuläret går ut till leverantörer från samma ställe, och deras svar ligger bredvid de tekniska fynden. Så när en leverantör uppger att all trafik är krypterad och skanningen visar ett utgånget certifikat, ligger motsägelsen framför dig i stället för begravd.