Kunder som omfattas av cybersäkerhetslagen kommer att be dig visa att din riskhantering är dokumenterad och att leveranskedjan går att följa. Räkna med frågor om riskbedömning, sårbarhetshantering, underleverantörer och incidentrutiner. Den som samlar bevisen på ett ställe svarar snabbare i upphandlingar och slipper ta samma diskussion om och om igen.
Kort sagt:
- Lagen trädde i kraft den 15 januari 2026, omfattar 18 sektorer och kräver riskbaserad dokumentation, men ingen särskild certifiering; ledningen ansvarar aktivt.
- Kunder frågar särskilt om underleverantörers åtkomst, åtgärdstider för kritiska sårbarheter, incidentrutiner, testad återställning och kundens rätt att granska säker utveckling.
- Versionshantera leverantörslistor, åtkomsträttigheter, riskbedömningar och tekniska testresultat, och ange datum och ansvarig person så att du kan visa läget vid en viss tidpunkt.
- Börja med att kartlägga underleverantörer och åtkomst samt bedöma risker och kritiska sårbarheter; avtalsändringar tar längre tid eftersom de kräver dialog.
- Från 1 juli 2026 ska betydande incidenter rapporteras till NCSC, medan tillsynsansvaret fördelas mellan myndigheter utifrån verksamhetens sektor.
Innehållsförteckning
- Vad kräver cybersäkerhetslagen av dig som leverantör?
- Vilka frågor får du från NIS2-omfattade kunder?
- Hur visar du efterlevnad med dokumentation och tekniska bevis?
- Vilka steg hinner du genomföra på 30 till 90 dagar?
- Var hittar du vägledning och stöd?
- Strukturerat efterlevnadsarbete vinner affärer
- Så hjälper vi dig att samla bevisen
- Vanliga frågor
- Källor
Vad kräver cybersäkerhetslagen av dig som leverantör?
Cybersäkerhetslagen (2025:1506) genomför NIS2 i Sverige och trädde i kraft den 15 januari 2026. Den omfattar 18 sektorer, bland annat energi, transport, hälsa, digital infrastruktur och offentlig förvaltning. Du kanske själv inte ingår i någon av dem. Men dina kunder gör det, och kraven på dem når dig genom avtal och upphandlingar.
Lagen kräver ingen särskild certifiering. Den kräver en systematisk, riskbaserad ansats med spårbar dokumentation från riskanalys till uppföljning av åtgärder. Ansvaret ligger på ledningen, som aktivt ska följa upp och förbättra cybersäkerhetsarbetet.
För leveranskedjan pekar ENISA på några återkommande delar: kartläggning av beroenden, sårbarhetshantering och bedömning av leverantörers mognad. Dessa beskrivs i ENISA:s good practices. De tekniska kraven för vissa digitala sektorer finns i genomförandeförordningen 2024/2690, och ENISA har publicerat teknisk vägledning för att tolka dem.
Tillsynen delas mellan flera svenska myndigheter. PTS beskriver sitt ansvar för bland annat digital infrastruktur och digitala leverantörer. Betydande incidenter ska rapporteras till NCSC, och enligt MSB:s underlag gäller det från 1 juli 2026. Läs mer om detta i vår guide om NIS2 incidentrapportering.
Vilka frågor får du från NIS2-omfattade kunder?
Frågorna varierar mellan branscher, men mönstret är likartat. Kunden vill veta vem som kan påverka dess data och hur snabbt du agerar när något går fel. Förbered svar på det här:
- Leverantörs- och underleverantörslista: vilka företag ni använder, vad de gör och vilka som har åtkomst till kunddata.
- Patch-policy: hur ni hanterar sårbarheter, vilken åtgärdstid (time to remediate) ni har för kritiska fynd och hur arbetet dokumenteras.
- Incidentrutiner: hur och inom vilken tid ni meddelar kunden, vem som är kontaktperson och hur ni följer upp efteråt.
- Backup och återställning: bevis på att ni faktiskt har testat återställning, inte bara att backuper tas.
- Kontinuitet: vad som händer med leveransen om en nyckelunderleverantör faller bort.
- Säker utveckling: hur kod granskas, om ni genomför penetrationstester och om kunden får göra revision.
Kunder ställer ofta liknande frågor i olika ordning och i olika format. Därför lönar det sig att ha ett färdigt underlag i stället för att skriva om svaren varje gång. Vi går igenom hur leverantörsbedömningen ser ut från kundens sida i vår checklista för leverantörsbedömning enligt NIS2.
Hur visar du efterlevnad med dokumentation och tekniska bevis?
Ett påstående utan underlag väger lätt. Det som övertygar är dokumentation som går att följa bakåt i tiden, med datum, ansvarig person och utfall.
Börja med spårbarhet. Samla leverantörslistor, åtkomsträttigheter och ansvarsfördelning på ett ställe och versionera dem, så att du kan visa hur läget såg ut vid en viss tidpunkt. Kör regelbundna riskbedömningar och dokumentera dem, gärna med en metod som bygger på ISO/IEC 27005. Vår guide till ISO 27005-riskanalys visar hur det kan se ut i praktiken. ENISA lyfter sårbarhetshantering och bedömning av leverantörsmognad som centrala delar i sin tekniska implementeringsvägledning.
Konkreta bevis som kunder uppskattar:
- Avtal med tydliga krav: servicenivåer för patchning, incidentrapportering och revisionsrätt, både uppåt mot kunden och nedåt mot dina egna underleverantörer.
- Loggar och testresultat: patchloggar, resultat från penetrationstester och protokoll från återställningstester.
- Tekniska spår: konfigurationshantering, en karta över beroenden såsom paket och bibliotek, och en kort beskrivning av hur ni utvecklar säkert.
Proffstips: Spara varje bevis med datum och ansvarig i samma struktur som kundens frågor. Då blir det enklare att plocka fram ett färdigt svar i stället för att leta i mejl.
Vilka steg hinner du genomföra på 30 till 90 dagar?
Du behöver inte bygga allt på en gång. Den här ordningen ger snabbast effekt inför en kundgranskning:
- Inventera alla direkta och viktiga underleverantörer och dokumentera vilken åtkomst var och en har.
- Gör en enkel riskbedömning per leverantör och bestäm åtgärdstid för kritiska sårbarheter.
- Uppdatera avtalen med minimikrav för säkerhet, patchning och incidentrapportering.
- Samla tekniska bevis: patchloggar, penetrationstester samt test av backup och återställning.
- Ta fram en standardiserad svarsmall för kundförfrågningar, med leverantörsöversikt och ett bevispaket.
De första stegen går ofta att genomföra genom att samla in det som redan finns. Avtalsarbetet tar längre tid eftersom det kräver dialog med motparter. Ett upplägg för hela tredjepartsriskarbetet beskriver vi i vår guide om NIS2 tredjepartsrisk. Vill du förstå varför det inte räcker att säkra den egna miljön hittar du resonemanget i vår artikel om NIS2 och leverantörskedjan.
Var hittar du vägledning och stöd?
Börja i de officiella källorna, och komplettera sedan med praktiskt material.
- ENISA: teknisk implementeringsvägledning och good practices för säkerhet i leveranskedjan, se vägledningen.
- NCSC: en samlad översikt över cybersäkerhetslagen för berörda verksamheter, med tillsynsmyndigheternas roller.
- MSB: analys av riskerna i digitala leveranskedjor och 50 rekommendationer om insyn, redundans och frekventa granskningar.
- Trustview: våra guider om NIS2 i Sverige för beslutsfattare och om leverantörsbedömning.
Strukturerat efterlevnadsarbete vinner affärer
Min uppfattning är att dokumentationen är den verkliga konkurrensfaktorn. Två leverantörer kan ha lika bra säkerhet, men den som kan visa det snabbt och spårbart vinner anbudet. Ledningsansvaret i lagen gör dessutom att kunderna frågar högre upp i organisationen än förut. Att investera i processer och bevis nu minskar risken att förlora ett avtal när tillsyn eller en incident sätter allt under lupp.
— Jesper
Så hjälper vi dig att samla bevisen
Vi har byggt Trustview för att göra just det här arbetet hanterbart. I vår plattform samlar du leverantörslistor, riskbedömningar och incidentloggar på ett ställe, så att du kan svara på kundens frågor utan att leta i olika system. Plattformen stödjer flera regelverk, bland annat NIS2 och ISO 27000, vilket passar dig som möter krav från fler än en kund.
Vi kompletterar med juridisk rådgivning, till exempel när du behöver formulera kontraktskrav och rapporteringsrutiner. Se våra priser, där Trustview kostar från 2 500 SEK per månad, eller läs om juridisk rådgivning. Kontakta oss så bokar vi en demo eller tar fram en offert.
Vanliga frågor
När kom NIS2-direktivet och när gäller det i Sverige?
NIS2 är ett EU-direktiv som Sverige har genomfört genom cybersäkerhetslagen. Lagen trädde i kraft den 15 januari 2026. Kunder som omfattas ställer sedan dess krav på sina leverantörer.
Vilken myndighet ansvarar för cybersäkerhet?
Tillsynen är fördelad på flera myndigheter, och vilken som gäller beror på sektor. PTS ansvarar bland annat för digital infrastruktur och digitala leverantörer. Betydande incidenter rapporteras till NCSC, och en översikt över rollerna finns hos NCSC.
Vilka drabbas av NIS2?
Direkt omfattas verksamheter inom de utpekade sektorerna. Som leverantör berörs du indirekt, eftersom kunden måste hantera risker i sin leveranskedja och därför ställer krav på dig. Det sker oftast genom frågeformulär, avtalskrav och revision.
Vad kan jag göra först om jag är leverantör?
Börja med att kartlägga dina egna underleverantörer och vilken åtkomst de har. Det är grunden för nästan alla kundfrågor. Därefter bygger du ett bevispaket med riskbedömning, patchlogg och incidentrutin.
Källor
- LRR Cybersäkerhetslagen
- Good practices for supply chain cybersecurity
- Supporting NIS2 implementation through actionable guidance | ENISA
- Incidentrapportering och informationsskyldighet
- Cybersäkerhetslagen | PTS
