Säkerhet i leveranskedjan är en av de åtgärdskategorier som regelverket pekar ut särskilt. I praktiken handlar det mindre om att samla in intyg och mer om att veta vilka leverantörer som faktiskt kan påverka er drift – och kunna visa hur ni bedömt dem.
Leverantörssäkerhet är arbetet med att förstå, begränsa och följa upp den risk som uppstår när andra organisationer levererar tjänster, system eller komponenter som er verksamhet är beroende av. Det handlar både om direkta leverantörer och om deras underleverantörer, i den mån de påverkar er förmåga att leverera.
Vilka leverantörer ni är beroende av för att kunna leverera er tjänst
Vilken åtkomst de har till era system, data och lokaler
Vad som händer hos er om leverantören drabbas av en incident
Hur ni får veta att något har hänt, och hur snabbt
NIS2 och säkerheten i leveranskedjan
Regelverket räknar upp ett antal kategorier av riskhanteringsåtgärder som verksamheten ska vidta. Säkerhet i leveranskedjan är en av dem, tillsammans med bland annat incidenthantering, kontinuitet och åtkomstkontroll. Kraven är formulerade som riskbaserade och proportionerliga – de innehåller ingen lista över godkända leverantörer, inga obligatoriska certifieringar och ingen färdig mall.
Åtgärderna ska stå i proportion till verksamhetens exponering och storlek
Bedömningen ska omfatta relationen till den enskilda leverantören, inte bara branschen
Utlagd drift och säkerhetstjänst påverkar riskbilden men flyttar inte ansvaret
Ledningen ska ha kännedom om åtgärderna och genomgå utbildning om dem
Vilka leverantörer bör bedömas
En vanlig blockering är ambitionen att bedöma alla. Ett hanterbart arbetssätt är att först klassificera leverantörsregistret efter påverkan och sedan lägga djupet där det gör skillnad. De flesta verksamheter landar i att en liten andel av leverantörerna står för nästan all reell risk.
Åtkomstbärande: konsulter och underhållspartner med privilegierad åtkomst
Övriga: leverantörer utan koppling till era system eller er leveransförmåga
Riskområden att granska
Vilka frågor som är relevanta beror på vad leverantören faktiskt gör. Det som återkommer i nästan alla bedömningar är åtkomst, incidenthantering och kontinuitet – det är där en leverantörsbrist snabbast blir er egen störning.
Åtkomst och behörighet: vem hos leverantören kan nå vad, och hur avvecklas åtkomsten
Incidenthantering: hur och inom vilken tid informeras ni vid en säkerhetsincident
Kontinuitet: återstartstider, beroenden och alternativ om tjänsten faller bort
Underleverantörer: vilka bakomliggande parter tjänsten vilar på
Datahantering: var data behandlas och lagras, och hur den återlämnas eller raderas
Förändringshantering: hur ni informeras om förändringar som påverkar er risk
Frågor att ställa till en IT-leverantör
Ett kort frågeunderlag som ni faktiskt hinner följa upp ger mer än ett långt formulär som ingen läser. Formulera frågorna så att svaren går att verifiera, och notera vilket svar ni fick – inte bara att frågan ställdes.
Vilka av era system och vilken data har ni åtkomst till hos oss?
Inom vilken tid informerar ni oss vid en säkerhetsincident som berör vår leverans?
Vem är utsedd kontaktperson vid incident, och hur nås den utanför kontorstid?
Vilka underleverantörer används i den tjänst vi köper?
Hur hanteras privilegierad åtkomst, och hur avvecklas den när uppdrag avslutas?
Vilka återstartstider gäller, och när testades de senast?
Dokumentation, evidence och åtgärder
Skillnaden mellan ett leverantörsarbete som håller och ett som inte gör det är sällan ambitionsnivån i frågorna. Det är spårbarheten: att bedömningen finns, att den bygger på något, att identifierade brister har en ägare och ett datum, och att uppföljningen faktiskt sker.
Bedömningen sparas med datum, omfattning och vem som gjorde den
Svar och underlag kopplas till bedömningen som evidence
Identifierade brister får ansvarig, åtgärd och tidpunkt för uppföljning
Uppföljning sker vid avtalsförändring, incident eller enligt satt intervall
MSP- och IT-leverantörsperspektivet
För en IT-partner är leverantörssäkerhet dubbelriktat. Ni är någon annans leverantör och får kundkrav som behöver besvaras konsekvent, samtidigt som ni själva har underleverantörer att bedöma. Det är också viktigt att skilja på vad som är ett lagkrav riktat mot er egen verksamhet och vad som är ett kommersiellt krav från en kund som själv omfattas.
Kundkrav uppstår ofta innan frågan om er egen omfattning är utredd
Ett standardiserat svarsunderlag minskar tiden per kunddialog kraftigt
Er egen omfattning bedöms separat – se sidan om omfattning
Multi-tenant-struktur gör det möjligt att hålla varje kunds underlag åtskilt
Hur CompliancePilot stödjer arbetet
Plattformen strukturerar leverantörs- och tredjepartsrisk som en del av NIS2-arbetet i stället för som ett fristående kalkylblad. Bedömningarna genereras med AI- och regelbaserat stöd med tydlig motivering, och underlag granskas alltid av människa innan användning. Plattformen gör ingen slutlig juridisk bedömning och godkänner inte leverantörer automatiskt.
Strukturerade bedömningar av leverantörs- och tredjepartsrisk
Evidence kopplat till varje bedömning och påstående
Identifierade brister med åtgärdsförslag och uppföljning
Gap-analys som visar var underlaget saknas
Rapportering till ledning och som underlag vid tillsyn
Partner- och kundstruktur för den som arbetar med flera kundorganisationer
Lagkrav eller kundkrav?
Många leverantörskrav som dyker upp i praktiken kommer från kunden, inte direkt från lagtexten. Skillnaden avgör hur ni bör hantera dem.
Direkt lagkrav
Kommersiellt kundkrav
Ursprung
Riskhanteringsåtgärder som verksamhetsutövaren ska vidta
Kundens egna krav i avtal eller upphandling
Riktar sig mot
Den verksamhet som omfattas
Leverantören, oavsett om den omfattas
Förhandlingsbart
Nej – nivån är riskbaserad men skyldigheten finns
Ja – innehåll och nivå avtalas
Följd vid brist
Tillsyn mot verksamhetsutövaren
Avtalsrättslig fråga mellan parterna
Tabellen är en praktisk orientering, inte en juridisk bedömning. Hur kraven träffar just er verksamhet bör bedömas av rätt juridisk eller compliance-kompetens.
Skriven av: CompliancePilots produktteam · Sakgranskad av: Sakgranskad mot primärkällor (SFS 2025:1506, direktiv (EU) 2022/2555, NCSC) · Senast granskad:
Innehållet bygger på hur leverantörs- och tredjepartsrisk faktiskt hanteras i CompliancePilot: strukturerade bedömningar, evidence, identifierade brister och uppföljning. Observationerna kommer från plattformens egna flöden, inte från allmänna sammanfattningar av regelverket.
Informationen på denna sida är vägledande och utgör inte juridisk rådgivning. Tillämpningen av cybersäkerhetslagen beror på verksamhet, sektor och storlek. Juridiska bedömningar ska göras av rätt juridisk eller compliance-kompetens.
FAQ
Vanliga frågor
Omfattas våra leverantörer automatiskt av NIS2?
Nej. Att ni omfattas innebär inte att era leverantörer gör det. Er skyldighet är att hantera risken som leverantören medför i er egen verksamhet. Om leverantören själv omfattas beror på dess sektor, storlek och tjänster och bedöms separat.
Måste vi kräva en viss certifiering av leverantörerna?
Regelverket pekar inte ut någon obligatorisk certifiering. En certifiering kan vara ett användbart underlag, men den ersätter inte er egen bedömning av vad leverantören betyder för just er leveransförmåga.
Hur ofta bör leverantörsbedömningar göras om?
Det finns inget fast intervall i lagtexten. En vanlig praktisk modell är att kritiska leverantörer följs upp årligen och att alla bedömningar ses över vid avtalsförändring, förändrad åtkomst eller efter en incident.
Kan vi lägga över ansvaret på vår driftleverantör?
Nej. Arbetsfördelningen kan och bör regleras i avtal, men ansvaret för verksamhetens riskhantering ligger kvar hos verksamhetsutövaren.
Vad räcker som dokumentation?
Det avgörande är spårbarhet: vad som bedömdes, när, av vem, på vilket underlag och vilka brister som identifierades och följdes upp. Formatet är mindre viktigt än att bedömningen går att återfinna och förstå i efterhand.
CompliancePilot stödjer bedömning av leverantörs- och tredjepartsrisk, samlar evidence, identifierar brister och håller ihop åtgärder och uppföljning. Underlag granskas av människa innan användning.
