min kund skickar en omfattande nis2-fragelista medan det inte var så tidigare vad ska jag göra med det

Din kund skjuter sitt kedjöverenskommelse vidare

Det betyder vanligtvis att din kund själv omfattas av cybersäkerhetslangen, och att han som en väsentlig eller viktig enhet är skyldig att bedöma säkerheten hos sina egna leverantörer. Den skyldigheten kommer från de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet, och en av dem handlar specifikt om kedjorna: organisationen måste veta hur säker hennes leverantörer är, och måste kunna påvisa det. Din kund skjuter därför inte bara denna fråga vidare — han är själv skyldig att göra det, och du är vid denna tidpunkt en del av hans "kedja". Därav att listan nu kommer, även om du levererade redan i många år utan att detta någonsin frågades: skyldigheten är ny för honom, inte för ert förhållande.

Det du kan förvänta dig är en kombination av frågor som tidigare hörde till åtkomstpolicy och hantering av företagstillgångar frågor om proceduren vid säkerhetshändelser och frågor om återhämtningsförmåga efter avbrott. Om du inte har ett ISO 27001-certifikat är det i sig vanligtvis inget problem — direktivet kräver inte att varje leverantör är certifierad, det kräver att kunden vet hur du ligger till. En beskrivning av dina egna åtgärder, med stödbevis där du har dem, är då ett giltigt svar. Där du inte har något svarar du att det inte finns något; en lista med endast "ja" utan underliggande stöd medför större risk vid en senare revision av din kund än ett ärlikt "nej, inte ännu".

Varför detta kommer till dig nu: artikel 21 stycke 2

Skyldigheten att bedöma leverantörer står i artikel 21 stycke 2 i Europaparlamentets och rådets direktiv (EU) 2022/2555, och är för nederländska enheter utförda i cybersäkerhetslangen, som träder i kraft den 15 augusti 2026. Huruvida din kund själv omfattas av denna lag och därför är skyldig att ställa dessa frågor kan du vanligtvis fastställa genom storleken och sektorn för hans verksamhet — något som också är relevant att veta om du själv som enhet omfattas av direktivet.