min kunde sender et omfattende nis2-spørgeskema, mens det før ikke var sådan hvad skal jeg gøre dermed

Din klient skubber sit kædeansvar videre

Det betyder normalt, at din klient selv falder under cybersikkerhedsloven, og at han som en væsentlig eller vigtig enhed er forpligtet til at vurdere sikkerheden hos sine egne leverandører. Denne forpligtelse stammer fra de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, og en af dem handler specifikt om kædesikkerhed: organisationen skal vide, hvor sikre hendes leverandører er, og skal kunne dokumentere det. Din klient videresender altså ikke spørgeskemaet bare for sjov — han er selv forpligtet til det, og du er på dette tidspunkt en del af hans "kæde". Det er derfor, at listen nu kommer, selvom du allerede har leveret i flere år uden at det nogensinde blev spurgt til: forpligtelsen er ny for ham, ikke for jeres forhold.

Hvad du kan forvente, er en kombination af spørgsmål, der tidligere hørte under adgangspolitikken og styringen af virksomhedsressourcer spørgsmål om proceduren ved sikkerhedshændelser og spørgsmål om modstandsdygtighed efter en forstyrrelse. Hvis du ikke har et ISO 27001-certifikat, er det normalt ikke i sig selv et problem — direktivet kræver ikke, at hver leverandør er certificeret, det kræver, at klienten ved hvordan det står til med dig. En beskrivelse af dine egne foranstaltninger sammen med dokumentation, hvor du har det, er da et gyldigt svar. Hvor du ikke har noget, svarer du, at der ikke er noget; en liste med udelukkende "ja" uden underliggende dokumentation medfører mere risiko ved en senere revision af din klient end et ærligt "nej, ikke endnu".

Hvorfor dette nu kommer til dig: artikel 21, stk. 2

Forpligtelsen til at vurdere leverandører findes i artikel 21, stk. 2 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555, og gennemføres for nederlandske enheder i cybersikkerhedsloven, som træder i kraft den 15. august 2026. Du kan normalt se, om din klient selv falder under denne lov, og således er forpligtet til at stille disse spørgsmål, ved at tjekke størrelsen og sektoren for hans virksomhed — noget som også er relevant at vide om du selv som enhed falder under direktivet.