Derfor er kravene begyndt at komme
NIS2-loven trådte i kraft 1. juli 2025 og omfatter omkring 6.000 danske organisationer. De skulle registrere sig senest 1. oktober 2025, og tilsynet er begyndt i 2026. Et af lovens kerneområder er forsyningskædesikkerhed. Omfattede virksomheder skal vurdere og håndtere risici hos deres leverandører og tjenesteudbydere.
Dermed skal jeres kundes compliance-afdeling nu skal kunne dokumentere, at I ikke er det svage led. Den dokumentation kan de kun få ét sted fra. Jer.
Hvilke krav møder leverandører typisk?
Kravene varierer fra kunde til kunde, men mønstret er til at genkende.
- Tekniske minimumsforanstaltninger. MFA, opdateringspolitik, kryptering, adgangsstyring, logning og mailsikkerhed med SPF, DKIM og DMARC.
- Dokumentation. Sikkerhedspolitik, risikovurdering og beredskabsplan, som regel efterspurgt gennem et leverandørspørgeskema.
- Hændelsesrapportering. Pligt til at underrette kunden hurtigt ved sikkerhedshændelser, der kan påvirke leverancen. Kunden har selv frister på 24 og 72 timer over for myndighederne.
- Audit-adgang. Ret til at efterprøve jeres sikkerhed gennem spørgeskema, dokumentation eller en tredjepartserklæring.
I skal ikke acceptere alt ukritisk
Nej. Det forventes I heller ikke at gøre ukritisk. Myndighedernes egen vejledning lægger op til en risikobaseret og proportional tilgang, hvor kravene til jer skal stå i forhold til, hvor kritisk jeres leverance er for kundens drift og sikkerhed.
Leverer I kantinedrift, er fuld ISO 27001-certificering ikke proportional. Driver I kundens IT-infrastruktur, er skrappe krav rimelige. Deri ligger jeres forhandlingsrum. Svar på kravene ud fra jeres faktiske rolle i kundens risikobillede, og foreslå alternativer, hvor kravene skyder over målet.
En fornuftig rækkefølge
Få styr på de basale tekniske foranstaltninger først. MFA, opdateringer, backup og mailsikkerhed går igen i stort set alle spørgeskemaer.
Saml derefter dokumentationen ét sted, så I kan besvare et leverandørspørgeskema på timer i stedet for uger.
Og overvej at vende det til en fordel. Vi ser flere og flere udbud, hvor den leverandør, der kan svare hurtigt og dokumenteret, vinder over den, der er billigere men skal bruge tre uger på at finde papirerne. Det er den opgave, vi har pakket som NIS2 for leverandører.