Ert företag och era leverantörer, som andra ser dem

Hur visar ni att ni har koll på leverantörerna?

Med cybersäkerhetslagen (SFS 2025:1506), som gäller från den 15 januari 2026 och genomför EU:s NIS2-direktiv i Sverige, räcker det inte att säkerheten är god hos er själva. Väsentliga och viktiga verksamheter ska också hantera säkerheten i leveranskedjan, och de behöver kunna visa hur de gör det. För många blir leverantörsrisk den del som är svårast att dokumentera.

TrustSek ger er ett sätt att bedöma varje leverantör på samma sätt, med underlaget och datumet sparade. Det börjar med er egen domän.

Börja med er egen domän.

Ange er domän, så samlar TrustSek in öppet underlag om den: era e-postposter, era certifikat och er webbkonfiguration, vad threat intelligence-källor och bevakningen av ransomwaregruppernas leak sites säger, och hur det ni har exponerat mot internet ser ut. Ingenting installeras, och ingenting inne i ert nätverk berörs.

Resultatet är en poäng som utgår från en baslinje, och en lista med fynd. Varje fynd beskriver vad som testades, varför det spelar roll, vilken konsekvens det kan få och hur ni åtgärdar det. Då läser den som åtgärdar och den som skriver under samma sak.

Lägg till era leverantörer.

Leverantörerna bedöms på samma sätt, utan att ni behöver be dem om något. Håll en lista över de leverantörer ni är beroende av, var och en med egen poäng och egna fynd, och se direkt om någon av dem har underlag som inte gick att kontrollera. Det gör leverantörsbedömningen jämförbar: samma kontroller för alla, oavsett om leverantören är stor eller liten.

Använd det i leverantörsarbetet enligt cybersäkerhetslagen.

NIS2 kräver att väsentliga och viktiga verksamheter hanterar säkerheten i leveranskedjan, inklusive säkerheten i förbindelserna med direkta leverantörer (artikel 21.2 d). Cybersäkerhetslagen för in samma krav i svensk rätt. Att bedöma en leverantörs domän ger det arbetet en dokumenterad utgångspunkt som går att upprepa: samma kontroller för varje leverantör, med underlaget och datumet sparade.

Det ersätter inte era avtal, era frågeformulär eller leverantörens egna processer, och en bra poäng bevisar inte att en leverantör uppfyller kraven. Sidan om NIS2 och cybersäkerhetslagen visar vilka åtgärder i artikel 21 som underlag utifrån kan stödja och vilka det inte kan. Guiden om leverantörskrav enligt cybersäkerhetslagen går igenom hur en hel leverantörsprocess kan se ut. Vilka föreskrifter och vilken vägledning som gäller för just er avgörs av den myndighet som regeringen utser för er sektor.

Åtgärda det en försäkringsgivare eller kund kommer att se.

Försäkringsbolag, kunder och partner kan titta på samma öppna underlag som ni. Ser ni det först, kan ni åtgärda de fynd som är billiga att rätta till innan någon annan frågar om dem, till exempel en e-postpolicy som inte avvisar förfalskad e-post. E-postsäkerhet förklarar hur SPF, DKIM och DMARC kontrolleras. PDF-rapporterna samlar poängen och fynden i ett dokument som ni kan lämna till styrelsen eller en kund.

Verktyget ser bara öppet underlag, när ni kör det.

TrustSek installerar inga agenter och ber inte om åtkomst, så verktyget kan inte se in i ert nätverk. Det arbetar bara med öppet underlag, och en källa som misslyckades eller inte kontrollerades visas som just det, aldrig som ett rent resultat.

Det är en kontroll som ni kör, inte kontinuerlig övervakning, och den innehåller inga uppgifter om dataintrång eller läckta inloggningsuppgifter. Metoden förklarar exakt hur poängen byggs upp och vad den inte kan se.