NIS2 for underleverandører: 7 krav jeres kunder stiller

En fast kunde sender pludselig et spørgeskema på 40 spørgsmål om jeres it-sikkerhed og beder om svar inden for to uger. Samtidig ligger der et udkast til en ny samarbejdsaftale med et bilag om informationssikkerhed. Det er en situation, som mange små og mellemstore virksomheder står i lige nu, fordi NIS2 for underleverandører i praksis betyder, at kravene rykker ned gennem forsyningskæden – også til virksomheder, der ikke selv er omfattet af reglerne.

Hvorfor kunderne stiller krav, selv om I ikke er omfattet

NIS2 er et EU-direktiv om cybersikkerhed, som er gennemført i dansk lovgivning. Det gælder for virksomheder og organisationer i en lang række sektorer, fx energi, transport, sundhed, fødevarer, produktion og digital infrastruktur. Et af de centrale krav er, at de omfattede virksomheder skal håndtere risici i deres forsyningskæde. Det vil sige, at de skal vurdere, om deres leverandører udgør en sikkerhedsrisiko.

Derfor bliver I som underleverandør bedt om dokumentation. Kunden har ikke nødvendigvis selv valgt at stille kravene – kunden er forpligtet til at kunne vise, at den har styr på sine leverandører. Det er altså ikke et udtryk for mistillid, men en del af kundens egen efterlevelse.

Kort forklaret

Er I ikke selv omfattet af NIS2, har I ingen direkte forpligtelser over for myndighederne. Men de krav, kunderne skriver ind i kontrakter og leverandøraftaler, bliver bindende for jer, når I skriver under.

De 7 krav, der oftest går igen

Formuleringerne varierer fra kunde til kunde, men indholdet ligner hinanden. Her er de krav, I med stor sandsynlighed vil møde.

1. En dokumenteret sikkerhedspolitik med ledelsesansvar

Kunden vil se, at informationssikkerhed er et ledelsesansvar og ikke kun noget, den it-ansvarlige tager sig af. Forvent spørgsmål om, hvem der har ansvaret, hvornår politikken sidst blev opdateret, og om I har lavet en risikovurdering af jeres vigtigste systemer og data.

2. Styr på adgange og multifaktorgodkendelse

Adgangsstyring er et af de mest konkrete punkter. Kunderne spørger typisk til:

• Om alle medarbejdere bruger multifaktorgodkendelse (MFA) til mail og fjernadgang
• Om adgange tildeles efter behov og ikke som standard
• Om adgange lukkes hurtigt, når en medarbejder stopper
• Om der er særlige regler for administratorkonti

3. Hurtig besked ved sikkerhedshændelser

Omfattede virksomheder har korte frister for at underrette myndighederne om alvorlige hændelser. Derfor vil kunden være sikker på, at I giver besked hurtigt, hvis noget går galt hos jer, der kan påvirke dem. Ofte står der en konkret frist i kontrakten. Sørg for, at I kender den og har en intern plan for, hvem der giver kunden besked, og hvordan.

4. Backup og en plan for at komme i gang igen

Kan I levere, hvis jeres systemer bliver ramt af ransomware? Kunden forventer, at I tager backup jævnligt, at mindst én kopi er adskilt fra de daglige systemer, og at I har testet, at I faktisk kan genskabe data. En nedskrevet beredskabsplan – selv en kort – er et stærkt signal.

5. Opdateringer og håndtering af sårbarheder

Forældede systemer er en af de mest almindelige indgange for angribere. Forvent spørgsmål om, hvor hurtigt I installerer sikkerhedsopdateringer, om I har overblik over jeres udstyr og software, og hvordan I håndterer systemer, som producenten ikke længere opdaterer.

6. Kontrol med jeres egne leverandører

Kæden stopper ikke ved jer. Bruger I fx eksterne hostingudbydere, it-driftspartnere eller cloudtjenester til at løse opgaven for kunden, vil kunden vide, hvordan I sikrer, at de også lever op til et rimeligt sikkerhedsniveau. Lav en liste over de leverandører, der har adgang til jeres systemer eller kundens data.

7. Ret til dokumentation og kontrol

Mange kontrakter giver kunden ret til at bede om dokumentation, sende opfølgende spørgeskemaer eller gennemføre en audit. Nogle kunder spørger også, om I arbejder efter en anerkendt standard som ISO 27001. Det er sjældent et krav at være certificeret, men det hjælper at kunne vise, at jeres arbejde følger en genkendelig struktur.

Tjekliste: Når spørgeskemaet lander

Brug denne rækkefølge, så I undgår at svare forhastet eller love mere, end I kan holde:

• Udpeg én ansvarlig, der samler svarene og har kontakten til kunden
• Gennemgå spørgsmålene, og markér dem som opfyldt, delvist opfyldt eller ikke opfyldt
• Svar ærligt – en realistisk handlingsplan er bedre end et ja, I ikke kan dokumentere
• Saml den dokumentation, I allerede har: politikker, backupprocedurer og adgangsregler
• Spørg kunden, hvis et spørgsmål er uklart, eller hvis kravet virker ude af proportion med jeres leverance
• Læs kontraktbilaget grundigt, før I skriver under, især frister, ansvar og ret til audit

Pro-tip: Lav ét samlet dokument med jeres standardsvar om informationssikkerhed, og opdatér det én gang om året. Når den næste kunde sender et spørgeskema, har I det meste klar og kan bruge tiden på de spørgsmål, der er nye.

Proportionalitet: Kravene skal passe til jeres størrelse

En lille virksomhed med ti ansatte skal ikke have samme sikkerhedsorganisation som en stor koncern. Kravene i NIS2 bygger på, at tiltagene skal stå i forhold til risikoen. Det kan I bruge i dialogen med kunden. Leverer I fx kun fysiske varer uden adgang til kundens systemer, er risikobilledet et andet, end hvis I driver en del af kundens it.

Er I i tvivl om, hvor I skal starte, har de danske myndigheder samlet vejledning og gratis materialer om basal cybersikkerhed til mindre virksomheder, blandt andet på sikkerdigital.dk og hos Center for Cybersikkerhed.

Opsummering

NIS2 for underleverandører handler først og fremmest om at kunne dokumentere et fornuftigt sikkerhedsniveau over for jeres kunder. De syv krav, der oftest går igen, er sikkerhedspolitik og ledelsesansvar, adgangsstyring, hurtig besked ved hændelser, backup og beredskab, opdateringer, kontrol med egne leverandører samt kundens ret til dokumentation. Start med det, I allerede gør, skriv det ned, og lav en realistisk plan for resten.

Før I skriver under

Kontraktbilag om informationssikkerhed kan indeholde ansvars- og erstatningsbestemmelser med betydning for jeres virksomhed. Få en advokat til at gennemgå aftalen, hvis I er i tvivl, og hold jer orienteret hos de danske myndigheder om, hvordan reglerne fortolkes.