Cybersäkerhetslagen ställer krav på att svenska organisationer hanterar NIS2 tredjepartsrisk genom en riskbaserad process för hela leverantörskedjan, i linje med artikel 21 i NIS2-direktivet. Det räcker inte att kartlägga leverantörer en gång. Ni måste klassificera dem efter kritikalitet, ställa avtalskrav som skalas efter risknivå och säkerställa löpande uppföljning, inklusive incidentrapportering inom fastställda tidsramar.
Kort sagt:
- Organisationerna måste kontinuerligt kartlägga och klassificera kritiska leverantörer för att kunna anpassa riskhanteringen efter deras risknivå.
- Kraven på avtal inkluderar incidentrapportering, revisionsrätt och att informera om underleverantörer, särskilt för högriskleverantörer.
- Löpande övervakning av leverantörer ska ske minst årligen, med fokus på incidenter, certifieringar och serviceavtal för att säkerställa efterlevnad.
- Styrelse och ledning bär det yttersta ansvaret för riskhantering, medan operativa roller ansvarar för klassificering och daglig uppföljning.
- Praktiska steg innebär fullständig inventering, riskklassificering, avtaluppdatering och regelbunden omvärdering för att möta NIS2-kraven.
Innehållsförteckning
- Vad lagen säger: NIS2 i Sverige och vilka tredjepartskrav som följer
- Kartläggning och klassificering: hur ni identifierar vilka leverantörer som är kritiska
- Avtal och juridiska krav: vilka klausuler NIS2 förväntar sig i leverantörsavtal
- Övervakning och incidentrapportering: praktiska krav och rekommenderade processer
- Styrning, ansvar och proportionalitet: rollfördelning i organisationen
- Praktisk checklista: steg för steg för att hantera tredjepartsrisk enligt NIS2
- Hur Trustview kan stödja NIS2-efterlevnad för tredjepartsrisk
- Författarens perspektiv: prioriteringar för juridiska ansvariga och säkerhetschefer
- Kom igång med strukturerad tredjepartsriskhantering
- Källor
Vad lagen säger: NIS2 i Sverige och vilka tredjepartskrav som följer
Sverige har valt att genomföra NIS2 genom en särskild lag snarare än att bygga om befintlig lagstiftning. Regeringens proposition om en ny cybersäkerhetslag beskriver hur direktivets krav omsätts i svensk rätt, med tillsyn fördelad mellan sektorsansvariga myndigheter. Lagen bygger vidare på NIS2-direktivets text, där artikel 21(2)(d) uttryckligen kräver att organisationer hanterar säkerhet i leverantörskedjan, inklusive risker som uppstår hos direkta leverantörer och deras underleverantörer.
Det som skiljer NIS2 från tidigare regelverk är den så kallade whole-entity-ansatsen. Ansvaret ligger inte hos IT-avdelningen isolerat, utan hos hela organisationen och i förlängningen hos ledningen. Det innebär i praktiken att:
- Styrelsen har ett direkt ansvar för att godkänna och följa upp riskhanteringsåtgärder.
- Leverantörsrisk räknas som en del av organisationens egen riskexponering, inte som en extern fråga.
- Brister hos en leverantör kan utlösa sanktioner mot den upphandlande organisationen, inte bara mot leverantören själv.
Läs mer om varför det inte räcker att bara säkra den egna it-miljön i vår fördjupning om NIS2 och leverantörskedjans krav.
Kartläggning och klassificering: hur ni identifierar vilka leverantörer som är kritiska
Ni kan inte hantera det ni inte har inventerat. Första steget i tredjepartsriskering NIS2 är att bygga en fullständig leverantörsregister, inte bara en lista över de största avtalen.
Vid datainsamlingen bör ni samla in: vilken tjänst leverantören levererar, vilken åtkomst de har till era system, vilken typ av data de hanterar, om de i sin tur anlitar underleverantörer, samt i vilken jurisdiktion data lagras och behandlas.
Klassificeringen kan hållas enkel:
- Hög risk – leverantören har åtkomst till kritiska system eller känslig data, och ett avbrott skulle stoppa er verksamhet.
- Medel risk – leverantören har viss systemåtkomst men begränsad påverkan vid ett bortfall.
- Låg risk – leverantören levererar stödfunktioner utan direkt koppling till kritisk infrastruktur eller data.
Klassificeringen ska sedan styra hur mycket due diligence, avtalskrav och uppföljning varje leverantör kräver. Det är kärnan i proportionalitetsprincipen som genomsyrar hela regelverket.
Proffstips: Involvera inköp, juridik och säkerhetsfunktionen i samma kartläggningsprocess från start. Om inköp gör klassificeringen ensamma missar ni ofta tekniska riskfaktorer, och om enbart IT gör den missar ni avtalsmässiga svagheter.
Avtal och juridiska krav: vilka klausuler NIS2 förväntar sig i leverantörsavtal
Ett avtal utan rätt klausuler ger er ingen verklig kontroll över tredjepartsrisken, oavsett hur bra er interna riskklassificering är. NIS2 förväntar sig att avtal med kritiska leverantörer innehåller konkreta säkerhetsåtaganden, inte bara allmänna skrivningar om “god säkerhetspraxis”.
De klausuler som bör finnas med för leverantörer i hög riskklass:
- Skyldighet att anmäla säkerhetsincidenter till er inom en avtalad tidsram, kopplad till era egna rapporteringsskyldigheter.
- Revisionsrätt som ger er möjlighet att granska leverantörens säkerhetsarbete, direkt eller via tredjepartsrevisor.
- Krav på att leverantören informerar om och godkänner användning av underleverantörer.
- Tekniska och organisatoriska åtaganden, gärna med hänvisning till ISO/IEC 27001 och kontrollerna 5.19, 5.20 och 5.22 som rör leverantörsrelationer.
För leverantörer i lägre riskklass räcker ofta enklare skrivningar om grundläggande säkerhetsnivå och rätt att avsluta avtalet vid allvarliga brister. Att skala kraven efter risk sparar tid utan att sänka skyddet där det verkligen behövs.
Övervakning och incidentrapportering: praktiska krav och rekommenderade processer
Ett avtal som aldrig följs upp är i praktiken tandlöst. Löpande övervakning av leverantörer i hög och medel riskklass bör ske minst årligen, med extra granskning vid större förändringar hos leverantören.
De uppgifter ni bör samla löpande:
- Incidenthistorik, inklusive tidigare säkerhetshändelser och hur de hanterats.
- Efterlevnad av avtalade servicenivåer (SLA) kopplade till säkerhet.
- Loggar eller sammanfattande rapporter som visar att leverantörens säkerhetskontroller faktiskt fungerar i drift.
- Status på eventuella certifieringar, inklusive giltighetstid och omfattning.
Sveriges registreringsplattform kräver dessutom att täckta enheter anmäler sin status och lämnar tekniska kontaktuppgifter inom fastställda tidsramar, vilket i sin tur ställer krav på att era leverantörsdata är uppdaterade och sökbara vid behov.
Ett ISO-certifikat är en bra utgångspunkt, men inget frikort. Kontrollera alltid scope och Statement of Applicability, så att certifieringen faktiskt täcker den tjänst ni köper och inte bara leverantörens huvudverksamhet. Fördjupa er gärna i kraven på NIS2-incidentrapportering för att förstå hur era egna tidsramar hänger ihop med leverantörernas.
Styrning, ansvar och proportionalitet: rollfördelning i organisationen
Cybersäkerhetslagen lägger det yttersta ansvaret på styrelse och ledning, som ska godkänna riskhanteringsåtgärder och kan hållas personligt ansvariga vid grov försummelse. Det innebär inte att ledningen ska sköta det operativa arbetet, men de måste kunna visa att de har tagit beslut med rätt underlag.
En fungerande rollfördelning brukar se ut så här:
- Juridik äger avtalsklausulerna och tolkar regulatoriska krav.
- Säkerhetsfunktionen äger riskklassificeringen och den tekniska uppföljningen.
- Upphandling äger relationen med leverantören och driver in avtalskraven vid nya upphandlingar.
- Verksamheten flaggar när en leverantörs tjänst blivit mer kritisk än ursprungligen bedömt.
Proportionalitetsprincipen är det som gör detta hanterbart i praktiken. Genom att koncentrera djupare kontroller till de mest kritiska leverantörerna, och acceptera enklare rutiner för resten, undviker ni att drunkna i administrativt arbete som inte minskar den faktiska risken.
Praktisk checklista: steg för steg för att hantera tredjepartsrisk enligt NIS2
Att gå från policy till faktiskt genomförande är där de flesta organisationer fastnar. Följ en tydlig ordning:
- Inventera alla leverantörer med åtkomst till system eller data, inklusive de som verkar perifera.
- Klassificera varje leverantör i hög, medel eller låg risk utifrån kriterierna ovan.
- Uppdatera avtal för leverantörer i hög och medel riskklass med de klausuler som beskrivits, inklusive incidentanmälan och revisionsrätt.
- Bygg en övervakningsrutin som fångar incidenter, SLA-avvikelser och certifieringsstatus löpande.
- Dokumentera varje steg, eftersom tillsynsmyndigheter kan komma att begära insyn i hur bedömningarna gjorts.
- Omvärdera årligen, och gör en extra bedömning direkt vid större incidenter eller förändringar hos en leverantör.
Det sista steget är lätt att glömma bort men avgörande. En leverantör som var lågrisk för två år sedan kan ha blivit högrisk i dag, om de exempelvis fått utökad systemåtkomst eller börjat använda nya underleverantörer.
Proffstips: Sätt en fast kalenderpunkt för årlig omvärdering redan när ni bygger processen. Om uppföljningen bara sker “vid behov” blir den i praktiken aldrig av.
Behöver ni ett strukturerat startdokument kan vår checklista för leverantörsbedömning enligt NIS2 fungera som utgångspunkt, och för den som vill fördjupa den juridiska granskningen ytterligare finns extern vägledning om rättslig due diligence att hämta inspiration från.
Hur Trustview kan stödja NIS2-efterlevnad för tredjepartsrisk
Att hantera tredjepartsrisk manuellt i kalkylark fungerar ett tag, men blir snabbt ohållbart när antalet leverantörer växer och kraven på dokumentation ökar. Ett verktyg som stödjer arbetet bör täcka hela kedjan: leverantörsbedömning, riskklassning, incidentlogg, avtalsmallar och strukturerad uppföljning över tid.
Trustview samlar dessa funktioner i en plattform byggd för svenska compliance-team. Ni kan:
- Registrera och klassificera leverantörer med samma riskmodell som beskrivits ovan.
- Koppla incidentloggning direkt till era rapporteringsskyldigheter enligt cybersäkerhetslagen.
- Använda färdiga mallar för avtalsklausuler och konsekvensbedömningar.
- Skapa spårbar dokumentation som kan visas upp om en tillsynsmyndighet begär insyn.
Läs mer om hur plattformen stödjer NIS2-arbetet i sin helhet på Trustviews NIS2-sida.
Författarens perspektiv: prioriteringar för juridiska ansvariga och säkerhetschefer
Den vanligaste missuppfattningen jag ser är att organisationer försöker behandla alla leverantörer lika grundligt. Det är både ineffektivt och kontraproduktivt. Om ni lägger lika mycket tid på en kontorsmaterialleverantör som på ert molndriftsbolag har ni missförstått vad proportionalitet betyder i praktiken.
De första 90 dagarna bör läggas på tre saker: fullständig inventering, klassificering av de tio mest kritiska leverantörerna, och omförhandling av avtal där incidentanmälan eller revisionsrätt saknas helt. Allt annat kan vänta till nästa fas.
— Jesper
Kom igång med strukturerad tredjepartsriskhantering
Trustview är byggt för organisationer som vill lämna kalkylark och lösryckta dokument bakom sig och samla hela NIS2-arbetet på ett ställe.
Plattformen kopplar samman leverantörsbedömning, riskklassificering och incidentloggning med samma dokumentationsspår som krävs vid tillsyn, vilket sparar den tid som annars går åt till att leta fram bevis manuellt inför en granskning. Det är särskilt värdefullt för organisationer som hanterar tiotals eller hundratals leverantörer parallellt med andra regelverk som GDPR och ISO 27000, eftersom ni slipper bygga separata processer för varje krav.
Vill ni se hur ett riskbaserat arbetssätt konkret minskar arbetsbördan för ert compliance-team, kan ni läsa mer om hur en riskbaserad ansats hjälper er prioritera och därefter boka en genomgång av plattformen för att se hur leverantörsmodulen fungerar för just er organisation.
Källor
NIS2-direktivet ger lagtexten, regeringens proposition förklarar svensk implementering, och SOU-underlaget beskriver anmälningskrav.
