Kundens løbende opfølgning på leverandører: hvad I skal kunne vise hvert år

Kontrakten er underskrevet, og den første test er afleveret. Alligevel kommer kunden tilbage næste år med nye spørgsmål. Det skyldes, at en NIS2-kunde ikke kun skal vurdere jer ved indkøb, men også følge op på jer, så længe samarbejdet varer. Svaret er en fast pakke af oplysninger, der viser, hvad der er sket siden sidst: seneste test og status på fund, væsentlige ændringer i leverancen, hændelser, ændringer hos jeres egne underleverandører og jeres kontaktpunkter.

Ordet hvert år kommer ikke fra loven. Gennemførelsesforordning (EU) 2024/2690 taler om planlagte mellemrum, og nogle kunder vælger en årlig cyklus. Teksten er ikke juridisk rådgivning.

Hvad teksterne siger om opfølgningen

Forordningen retter sig direkte mod en række digitale udbydere, blandt andre cloudtjenester, datacentre og udbydere af administrerede tjenester, og for dem er reglerne mest detaljerede. Bilagets punkt 5.1.6 kræver, at de overvåger, evaluerer og om nødvendigt reagerer på ændringer i leverandørernes cybersikkerhedspraksis med planlagte mellemrum, og når der sker væsentlige ændringer eller væsentlige hændelser. Punkt 5.1.7 uddyber det: kunden skal regelmæssigt følge rapporter om gennemførelsen af serviceaftalerne, gennemgå hændelser med leverandørernes produkter og tjenester, vurdere behovet for gennemgange uden for planen og analysere risici ved ændringer hos leverandørerne.

For de øvrige enheder under NIS 2-loven er forsyningskædesikkerhed en af foranstaltningerne i § 6, stk. 1, nr. 4. SAMSIK’s vejledning om foranstaltninger stiller i et eksempel i afsnit 4 spørgsmålet, om virksomheden har en plan for regelmæssig revurdering, fx årligt eller ved ændringer hos leverandøren. Det er et eksempel, ikke et krav, men det forklarer, hvor den årlige forespørgsel kommer fra. → Forsyningskædesikkerhed

Hvad ENISA lægger til

ENISA’s tekniske vejledning til forordningen er ikke bindende, men nogle kunder bruger den. Til punkt 5.1.6 anbefaler den at gennemgå politikken for forsyningskædesikkerhed mindst en gang om året og at have en proces, der følger leverandørerne gennem hele samarbejdet. Til punkt 5.1.7 nævner den eksempler på forhold, der kan udløse en gennemgang uden for planen: væsentlige ændringer i leverandørens drift, ændringer i leverandørens risiko, manglende opfyldelse af aftalen og nye trusler eller sårbarheder, der rammer det leverede.

For jer betyder det, at kunden ikke kun spørger en gang om året. Sker der noget af det, ENISA nævner, kan I forvente spørgsmål i mellemtiden. → Ny test efter væsentlige ændringer

Det, I bør have klar

En opfølgning går hurtigere, når I har de samme oplysninger klar hver gang:

Seneste test · dato, type, omfang og om den svarer til det, aftalen kræver.
Status på fund · åbne, rettede, efterprøvede og accepterede fund fra seneste test.
Næste test · hvornår den er planlagt, og hvad den omfatter.
Væsentlige ændringer · ny platform, nye moduler, ny hosting eller nye adgangsveje siden sidst.
Hændelser · hændelser, der har berørt eller kunne have berørt kunden, og hvad der er gjort.
Underleverandører · nye eller udskiftede underleverandører, der indgår i leverancen.
Kontaktpunkter · hvem kunden skal kontakte om sikkerhed og hændelser.

Det sidste punkt hænger sammen med forordningens punkt 5.2, hvor kunden skal føre kontaktpunkter for hver direkte leverandør i sit register. Et forældet navn eller en nedlagt postkasse er en fejl, kunden let opdager, og som får kunden til at tvivle på resten af svaret. Brug opfølgningen til at kontrollere, at kunden også har jeres rigtige kontaktpunkt for hændelser, ikke kun for fakturaer og support. → Kundens leverandørregister

Testen er kun én del

Det er let at tro, at en ny pentestrapport er svaret på kundens opfølgning. Den er en vigtig del, men kunden spørger til praksis, ikke kun til et dokument. Har I haft en hændelse, eller har I skiftet hostingpartner, vil kunden vide det, også selv om testen er ny. Og en test fra sidste år kan stadig være god nok, hvis intet væsentligt er ændret, og status på fundene er opdateret.

Hændelser har deres egne regler i jeres aftale, og besked om dem kan skulle gives hurtigere end ved den årlige opfølgning. Den årlige oversigt er en opsamling, ikke en erstatning. Står en hændelse allerede i kundens egne noter, fordi I meldte den i tide, vil oversigten blot bekræfte det, kunden ved, og det er netop meningen. → Leverandørens pligt til at give kunden besked om hændelser

Når jeres egne leverandører indgår

Kunden kan spørge til jeres underleverandører, fordi forordningens punkt 5.1.4, litra g, nævner krav til underentreprise i kundens kontrakter. Har I krav til jeres egne leverandører om test og opfølgning, er det en del af det, I kan vise. Har I ikke, er det et spørgsmål, kunden kan stille. Det gælder især underleverandører med adgang til kundens data eller til de systemer, I bruger til at drive leverancen, fx en hostingpartner eller en ekstern supportfunktion. → Krav, I skal sende videre til jeres egne underleverandører

Et tænkt eksempel

En leverandør af et system til journalføring af affaldstransporter får hvert forår en henvendelse fra en kommunal affaldsvirksomhed, som oplyser, at den er omfattet af NIS 2-loven. Første år samler leverandøren svarene fra bunden og bruger flere dage på det.

Andet år har leverandøren en fast side med de syv punkter, der opdateres løbende. Da affaldsvirksomheden spørger, sendes siden sammen med den seneste testerklæring og statuslisten. Der er sket én væsentlig ændring: systemet er flyttet til en ny hostingpartner. Det står på siden med dato, og leverandøren oplyser, at næste test omfatter den nye opsætning. Affaldsvirksomheden har ingen opfølgende spørgsmål. Leverandøren bruger samme side over for sine andre kunder og tilpasser kun følgebrevet til den enkelte.

Det skal I lade være med

At sende en ny rapport som eneste svar · kunden spørger også til ændringer og hændelser.
At skrive, at loven kræver årlig opfølgning · teksterne taler om planlagte mellemrum.
At glemme kontaktpunkterne · kontrollér dem ved hver opfølgning.
At vente med væsentlige ændringer til den årlige oversigt · kunden kan have krav om besked tidligere.
At besvare hver kunde fra bunden · hold oplysningerne samlet ét sted.

Hvad kan og ikke kan konkluderes

En fast pakke med test, status, ændringer, hændelser og kontaktpunkter giver kunden det, kunden skal bruge for at følge op på jer, og sparer jer for at starte forfra. Den kan ikke garantere, at kunden er tilfreds med svaret, og den ændrer ikke de frister og pligter, der står i jeres aftale. → Dokumentationen på et fast tidspunkt hvert år