Cybersäkerhetslagen och leverantörerna: vad lagen kräver och vad underlag utifrån kan visa

Cybersäkerhetslagen (2025:1506) är Sveriges genomförande av NIS2-direktivet, direktiv (EU) 2022/2555. Den gäller från den 15 januari 2026 och kräver att de verksamheter som omfattas hanterar sina cybersäkerhetsrisker. Säkerheten i leveranskedjan är ett av de områden som lagen uttryckligen pekar ut.

Den här guiden går igenom vad lagen och direktivet säger om leverantörer, hur kraven når leverantörer som inte själva omfattas, och hur ett arbetssätt för leverantörerna kan se ut. Sist beskriver vi var underlag utifrån, till exempel en kontroll med TrustSek, passar in.

Vad lagen säger om säkerhetsåtgärder

Enligt 2 kap. 3 § ska verksamhetsutövare vidta ”lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder” för att skydda sina nätverks- och informationssystem mot incidenter. Lagen kallar dem säkerhetsåtgärder. De ska utgå från ett allriskperspektiv och ge en säkerhetsnivå som är lämplig i förhållande till risken.

Paragrafen räknar sedan upp tio områden som säkerhetsåtgärderna åtminstone ska avse. Punkt 4 är kort:

”säkerhet i leveranskedjan”

Lagen säger alltså att leveranskedjan ska ingå, men inte hur. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om säkerhetsåtgärderna (2 kap. 14 §). Mer detaljerade krav kommer därför i föreskrifter, inte i själva lagen.

Vad NIS2-direktivet lägger till

Lagens punkt 4 motsvarar artikel 21.2 d i direktivet, som är mer utförlig:

”säkerhet i leveranskedjan, inbegripet säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer”

Artikel 21.3 anger vad som ska vägas in när man bedömer vilka åtgärder som är lämpliga:

”de sårbarheter som är specifika för varje direktleverantör och tjänsteleverantör och den övergripande kvaliteten på deras leverantörers och tjänsteleverantörers produkter och cybersäkerhetspraxis, inbegripet deras förfaranden för säker utveckling”

Samma punkt kräver också att resultatet av EU:s samordnade riskbedömningar av kritiska leveranskedjor enligt artikel 22.1 beaktas.

Tre saker följer av texten:

1. Det handlar om direkta leverantörer. Ni behöver inte kartlägga varje leverantörs leverantörer, även om det är rimligt att er bedömning av en direkt leverantör tar med hur den i sin tur hanterar sina.
2. Det kräver bedömning, inte en checklista. Ni avgör vilka åtgärder som är lämpliga utifrån varje leverantörs sårbarheter och hur väl den sköter sin säkerhet.
3. Det hänger ihop med de andra åtgärderna. Incidenthantering, kontinuitet, åtkomstkontroll, kryptografi och resten berör också leverantörerna, till exempel när en leverantör hanterar era uppgifter eller driftar ett system åt er.

Ansvaret ligger på ledningen. Direktivet säger i artikel 20 att ledningsorganet ska godkänna åtgärderna och övervaka hur de genomförs, och cybersäkerhetslagen kräver att de som ingår i ledningen utbildas om säkerhetsåtgärder (2 kap. 4 §). Leverantörssäkerhet är alltså en ledningsfråga, inte bara en inköpsfråga.

För vissa digitala tjänster, bland annat molntjänster, datacentraltjänster, utlokaliserade driftstjänster och utlokaliserade säkerhetstjänster, finns mer detaljerade tekniska krav i kommissionens genomförandeförordning (EU) 2024/2690, också för leveranskedjan. Hör ni till dem, bör ni läsa bilagan till förordningen tillsammans med lagen.

Vilka som omfattas, och hur kraven når leverantörerna

Cybersäkerhetslagen gäller för verksamhetsutövare i de sektorer som räknas upp i bilaga 1 och 2 till direktivet, i regel om de är minst medelstora företag. Den gäller också för regioner, kommuner och kommunalförbund, vissa statliga myndigheter och en del verksamheter oavsett storlek, till exempel leverantörer av DNS-tjänster (1 kap. 3–8 §§). Lagen delar in dem i väsentliga och viktiga verksamhetsutövare, som främst skiljer sig åt i hur tillsynen går till.

Många leverantörer omfattas inte själva: ett mindre programvaruföretag, en lönebyrå, den lokala IT-partnern. Lagen når dem ändå, indirekt. Den som omfattas måste hantera risken som leverantörerna för med sig, och för därför kraven vidare genom avtal, frågeformulär och uppföljning. En leverantör som inte själv står under tillsyn kan alltså märka att kunderna plötsligt vill se underlag för hur den skyddar tjänsten den levererar.

Tillsynen utövas av den eller de myndigheter som regeringen bestämmer (3 kap. 1 §). Vilka föreskrifter och vilken vägledning som gäller för er får ni därför från den myndighet som regeringen utser för er sektor.

Ett praktiskt arbetssätt för leverantörerna

Varken lagen eller direktivet föreskriver en metod. Stegen nedan är ett vanligt och proportionerligt sätt att arbeta med säkerheten i leveranskedjan. Anpassa djupet efter leverantören.

1. Inventera. Lista era direkta leverantörer och tjänsteleverantörer, vad var och en levererar, vilka av era system och uppgifter de kommer åt och vem hos er som äger relationen.
2. Klassa efter hur kritiska de är. Fråga er vad som händer om leverantören drabbas av ett angrepp eller inte kan leverera. En leverantör med administratörsbehörighet i ert nät, eller som driftar en tjänst era kunder är beroende av, är kritisk. Den som levererar kaffe till kontoret är det inte.
3. Ställ krav i avtalen. Skriv in säkerhetskrav i avtalen med kritiska leverantörer: vilka åtgärder ni förväntar er, att de meddelar er om incidenter inom en överenskommen tid, er rätt att begära underlag eller granska, regler för deras underleverantörer och vad som händer med era uppgifter när avtalet upphör.
4. Bedöm innan ni skriver på. Välj det som passar leverantörens betydelse: ett frågeformulär, en certifiering som ISO/IEC 27001 där ni kontrollerar omfattningen, en granskningsrapport som SOC 2, ett samtal med deras säkerhetsansvarige och underlag utifrån.
5. Följ upp. Gör om bedömningen med jämna mellanrum och när något ändras: en ny tjänst, ett uppköp, en incident, byte av driftleverantör. Dokumentera vad ni kontrollerade och vad ni beslutade.
6. Planera för avslut. Vet hur ni skulle ersätta en kritisk leverantör och hur era uppgifter och behörigheter lämnas tillbaka eller tas bort.

Dokumentera hela vägen. När tillsynsmyndigheten frågar hur ni hanterar riskerna i leveranskedjan, är det ett dokumenterat arbetssätt med daterat underlag som besvarar frågan.

Var underlag utifrån passar in

En kontroll utifrån tittar på en leverantörs domän så som vem som helst på internet kan: e-postautentisering, hur webbtjänsterna krypteras, vilka tjänster som är exponerade, vilka programversioner servrarna visar, och om domänen förekommer i threat intelligence eller på ransomwaregruppernas leak sites. TrustSek gör det utan att be leverantören om något och utan åtkomst till deras system. Kontrollen är icke-intrusiv: utöver öppna källor gör den ett TLS-handslag och vanliga webbanrop mot domänen, som en webbläsare, och ingen portskanning. Hur underlaget samlas in och poängsätts beskrivs i metoden.

Det gör underlaget användbart på några bestämda ställen i arbetet:

• Sortering bland många leverantörer. Innan ni skickar ett långt frågeformulär till alla, visar en poäng per leverantör var ni bör börja.
• Underlag om hur leverantören faktiskt arbetar. Artikel 21.3 talar om kvaliteten på leverantörens cybersäkerhetspraxis. Ett utgånget certifikat, en DMARC-policy som inte gör något eller en känd utnyttjad sårbarhet på en publik server är iakttagbara tecken på den praxisen.
• Konkreta frågor. Ett fynd ger er något specifikt att ta upp. ”Er e-postdomän har ingen skarp DMARC-policy. När ändrar ni det?” är lättare att följa upp än en allmän fråga om e-postsäkerhet.
• Daterat underlag. Varje resultat visar när det samlades in och vilken poängpolicy som gav det, vilket hjälper när ni dokumenterar uppföljningen.

TrustSek kopplar också fynden till åtgärderna i artikel 21: punkterna e, g, h och j, som rör grundskydd för webben, cyberhygien för e-post och webb, kryptografi och tvingande HTTPS. Sidan om NIS2 och cybersäkerhetslagen visar varje koppling. När ni kontrollerar en leverantörs domän, beskriver de kopplingarna leverantörens egna åtgärder, inte era. De är underlag ni kan väga in enligt artikel 21.3, inte ett resultat mot punkt d.

Ni kan följa era leverantörer i TrustSek bredvid er egen domän. Läs mer under lösningar för företag.

Var det inte passar in

Det mesta som gör en leverantör säker syns inte utifrån. En kontroll kan inte visa:

• om leverantören har en process för riskhantering, incidenthantering eller kontinuitet
• hur den styr åtkomsten till era uppgifter, eller om den använder flerfaktorsautentisering
• om personalen är utbildad, eller vem hos leverantören som kan nå era system
• vilka underleverantörer den använder och hur de hanteras
• vad ert avtal säger, eller om leverantören följer det

En kontroll läser dessutom bara öppna uppgifter vid ett enda tillfälle. Ett resultat utan fynd betyder att ingen av de kontrollerade signalerna gav något fynd, inte att leverantören är säker. En källa som inte gick att fråga visas som Ej kontrollerad och räknas aldrig som ett rent resultat.

Använd därför underlag utifrån som en del av arbetet, bredvid avtal, frågeformulär, certifieringar och samtal. Det ersätter inget av dem, och det betyder inte att vare sig ni eller leverantören uppfyller kraven i cybersäkerhetslagen eller NIS2.

Kontrollera en leverantörs domän

Skriv in en leverantörs domän, eller er egen, och se vilket öppet underlag en kontroll samlar in. Ingen åtkomst till leverantörens system behövs.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.