Forsyningskædesikkerhed: hvad kunden skal tage stilling til om jer

Forsyningskædesikkerhed er det emne i NIS2, der direkte gør leverandører til en del af kundens pligter. Kunden skal ikke sikre jeres virksomhed, men skal kunne vise, at risikoen ved jeres leverance er vurderet og håndteret. Svaret hviler på direktivets artikel 21, stk. 2, litra d, på NIS 2-lovens § 6, stk. 1, nr. 4, og på afsnit 4 i SAMSIK’s vejledning om foranstaltninger.

Kort sagt skal kunden tage stilling til fire ting om jer: om I er den rette leverandør, hvad der står i aftalen, hvordan kunden følger op, og hvad der sker ved en hændelse. En penetrationstest kan bidrage til de tre første, men ingen af dem består kun af test.

Hvad lovteksten siger

§ 6, stk. 1, nr. 4, kræver, at foranstaltningerne omfatter forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter i forholdet mellem enheden og dens direkte leverandører eller tjenesteudbydere. Ifølge lovbemærkningerne, som SAMSIK gengiver, betyder det, at enhederne skal have procedurer for leverandørstyring og for aftaleindgåelse med leverandører, hvis produkter eller tjenester kan påvirke sikkerheden i enhedens systemer.

Bemærk ordet direkte. Pligten gælder kundens direkte leverandører. Bemærkningerne nævner, at kunden kan overveje risici fra leverandører i andre led, men det er formuleret som en mulighed. → Krav i andet eller tredje led

Vejledningen beskriver formålet sådan, at sårbarheder eller hændelser hos leverandørerne ikke må påvirke kunden og kundens tjenester negativt. Det er en nyttig sætning at have i baghovedet, når I læser et krav. Spørgsmålet er altid, hvordan noget hos jer kan ramme kunden, og ikke hvor sikker jeres virksomhed er i almindelighed.

Første spørgsmål: er I den rette leverandør?

SAMSIK’s vejledning anbefaler, at kunden har kriterier for at vælge leverandører. Blandt eksemplerne er leverandørens cybersikkerhedspraksis og procedurer for sikker udvikling, evnen til at leve op til kundens sikkerhedskrav, og hvor let kunden kan skifte leverandør. Her kan en nyere testrapport være et af de dokumenter, kunden lægger vægt på, sammen med beskrivelser af jeres praksis.

Kunden skal ifølge vejledningen bruge en risikobaseret tilgang, så kravet til hver leverandør står i forhold til leverancens betydning. Det er grunden til, at kunden kan inddele leverandører i grupper og stille flere krav til nogle end til andre. → Kritisk leverandør

For en ny leverandør kan det være svært at vise noget, før leverancen findes. Her kan en test af en tilsvarende opsætning eller af den platform, leverancen skal køre på, give kunden et første indtryk, mens den endelige test aftales til idriftsættelsen.

Andet spørgsmål: hvad skal stå i aftalen?

Vejledningen giver en liste over emner, som en aftale med en direkte leverandør kan indeholde, afhængigt af kundens risikovurdering. Dem, der berører test og testresultater, er især:

Sikkerhedskrav · at leverandøren og det leverede følger relevante sikkerhedskrav, lovkrav og standarder.
Ret til revision · kundens ret til revision eller til at modtage revisionsrapporter fra leverandøren. → Ret til revision
Sårbarheder · en pligt til at håndtere sårbarheder, der udgør en risiko for kundens systemer. → Pligt til at håndtere sårbarheder
Underleverandører · om de er tilladt, og hvilke krav der gælder for dem.
Samarbejde med tilsynet · at leverandøren bistår kunden, hvis kundens myndighed beder om oplysninger.

Det er disse punkter, der i praksis bliver til klausuler om årlig test, adgang til rapporter og frister for rettelser. Vejledningen siger ikke, at de skal stå i alle aftaler, men at de kan, i overensstemmelse med risikovurderingen.

Tredje spørgsmål: hvordan følger kunden op?

Kunden bør ifølge vejledningen gennemgå sin leverandørstyring og følge med i ændringer i leverandørernes sikkerhedspraksis med planlagte mellemrum og efter hændelser. Vejledningens eksempel nævner en plan for regelmæssig revurdering, fx årligt eller ved ændringer hos leverandøren.

Det er her, gentagne spørgsmål kommer fra. Kunden skal kunne vise, at billedet af jer er opdateret, og en ny test, en retest eller en status på rettelser er nogle af de få ting, der viser udvikling over tid. → Kundens løbende opfølgning

Det hjælper kunden, hvis I selv foreslår, hvad opfølgningen skal bestå af. En fast pakke med den seneste testdato, åbne fund og ændringer i leverancen siden sidst er lettere at håndtere for begge parter end et nyt skema hvert år.

Fjerde spørgsmål: hvad sker der ved en hændelse?

Vejledningen nævner som kontraktpunkt, at leverandøren skal underrette kunden om relevante hændelser og bistå kunden med at overholde sine rapporteringspligter. Her er test ikke svaret. Det kunden har brug for, er en kontaktvej, en aftalt beskedpligt og en forståelse af, hvad I gør, hvis noget går galt hos jer. En test kan dog komme ind bagefter. Efter en hændelse hos jer kan kunden spørge, om svagheden er lukket, og en målrettet test af det berørte område kan være en del af svaret. → Kundens 24 timer

Et tænkt eksempel

En leverandør af et vagtplanssystem til et regionalt sygehus bliver bedt om at udfylde et leverandørskema. Skemaet spørger til udvælgelse (certificeringer og testrapporter), aftale (rettefrister og ret til revision), opfølgning (årlig dokumentation) og hændelser (kontaktperson og beskedfrist). Leverandøren kan lægge testrapporten under første og tredje punkt, men skal svare på de øvrige med aftaletekst og procedurer. At sende rapporten som svar på hele skemaet efterlader kunden med huller.

Det skal I lade være med

At se forsyningskædesikkerhed som et testkrav · test er én af flere måder, kunden får indsigt på.
At overse ordet direkte · kravene til jeres egne leverandører kommer fra jeres aftale, ikke direkte fra loven.
At acceptere alle vejledningens kontraktpunkter som standard · vejledningen beskriver muligheder efter risiko.
At svare på hændelsesspørgsmål med testresultater · kunden har brug for en beskedvej og en aftale.
At glemme opfølgningen · kunden skal kunne vise, at billedet af jer er opdateret.

Hvad kan og ikke kan konkluderes

Lovteksten og vejledningen forklarer, hvorfor kunden skal vurdere jer, og hvilke emner vurderingen kan dække. De fastlægger ikke, hvilke konkrete krav en bestemt kunde stiller, og SAMSIK’s vejledning om anvendelsesområdet siger, at kunden ikke behøver at stille præcis de samme krav, som kunden selv er underlagt. En test kan dokumentere jeres sikkerhed i en afgrænset del af leverancen på et tidspunkt. Den kan ikke afgøre, om kundens leverandørstyring lever op til loven. Teksten er ikke juridisk rådgivning.