Checklista för leverantörsbedömning enligt NIS2
Tjugotre kontroller för att bedöma en leverantör enligt NIS2 artikel 21.2 d och 21.3, från omfattning till uppföljning. Använd den på skärmen, skriv ut den eller ladda ned den som kalkylmall.
Senast granskad
NIS2 och cybersäkerhetslagen kräver att ni hanterar säkerheten i er leveranskedja och tar hänsyn till varje direkt leverantörs sårbarheter och kvaliteten på dess cybersäkerhetsarbete. Hur det ska gå till står inte i lagen. Den här checklistan gör det till konkreta kontroller, en leverantör i taget.
Avsnitt 2 kan ni göra utan att fråga leverantören om något: det är det öppna underlaget som en kontroll samlar in, och varje punkt länkar till modulen som förklarar den. De andra avsnitten kräver leverantörens svar, dokument eller ert avtal. Vill ni skriva ut den eller spara den som PDF använder ni webbläsarens utskriftskommando.
1. Omfattning: vilka leverantörer och hur kritiska
Leverantören finns med på er lista över direkta leverantörer och tjänsteleverantörer.
Underlag: Ert leverantörsregister
Ni har noterat om den hanterar era uppgifter, driver en tjänst ni är beroende av eller är ansluten till era system, och gett den en risknivå.
Underlag: Er bedömning av risknivå
Någon i er organisation äger relationen och uppföljningen.
Underlag: Utsedd ansvarig
2. Underlag utifrån: det ni kan kontrollera utan att fråga
Leverantörens e-postdomän publicerar SPF och en skarp DMARC-policy (quarantine eller reject).
Underlag: DMARC- och SPF-poster · Kontrolleras utifrån: E-postsäkerhet
Dess webbplatser och portaler använder HTTPS med giltigt certifikat, styr om HTTP till HTTPS och accepterar inte föråldrade TLS-versioner.
Underlag: Certifikat, TLS-versioner, omdirigeringar · Kontrolleras utifrån: TLS och webbhygien
Dess webbplatser skickar de grundläggande säkerhetsheadersen, inklusive HSTS.
Underlag: HTTP-headers i svaren · Kontrolleras utifrån: TLS och webbhygien
Ingen publik programvara den kör visar en version med en känd utnyttjad sårbarhet.
Underlag: Visade programversioner mot kända sårbarheter · Kontrolleras utifrån: Sårbarheter
Inga oväntade tjänster är exponerade mot internet, och förväxlingsbara domäner är kända.
Underlag: Subdomäner, öppna portar, förväxlingsbara domäner · Kontrolleras utifrån: Attackyta
Domänen och dess IP-adresser finns inte på listor över skadlig kod, nätfiske eller botnät.
Underlag: Listor med hotdata · Kontrolleras utifrån: Rykte
Leverantören pekas inte ut i ett färskt anspråk på en läcksida för ransomware.
Underlag: Bevakningstjänster för läcksidor · Kontrolleras utifrån: Ransomware-exponering
3. Leverantörens egna kontroller: be om underlag
Om leverantören hänvisar till ISO 27001 eller en SOC 2-rapport täcker omfattningen den tjänst ni köper.
Underlag: Certifikat med omfattning, eller rapporten
Multifaktorautentisering skyddar varje konto som kan nå era uppgifter eller system.
Underlag: Leverantörens intyg, utdrag ur policy
Sårbarheter hanteras inom fastställda tider, kritiska först.
Underlag: Rutin för sårbarhetshantering
Det finns säkerhetskopior av era uppgifter, de är skyddade och har återställts i ett test.
Underlag: Protokoll från återställningstest
Leverantören har en process för incidenthantering med en utsedd kontaktperson.
Underlag: Incidentrutin, kontaktuppgifter
Leverantören redovisar vilka underleverantörer som är inblandade i er tjänst.
Underlag: Lista över underleverantörer
4. Avtalet
Säkerhetskraven leverantören ska uppfylla står i avtalet.
Underlag: Avtalsklausul
Leverantören ska meddela er om incidenter som påverkar er tillräckligt snabbt för att ni ska kunna göra er egen tidiga varning inom 24 timmar (artikel 23).
Underlag: Avtalsklausul med tidsgräns
Ni har rätt att begära underlag och att granska när risken motiverar det.
Underlag: Avtalsklausul
Avtalet anger vad som händer med era uppgifter, och hur ni tar er ur det, när det upphör.
Underlag: Klausul om exit och återlämning av data
5. Beslut och uppföljning
Ni har dokumenterat beslutet (godta, godta med villkor eller avstå) och den risk som kvarstår.
Underlag: Godkänd bedömning
Överenskomna åtgärder har ansvariga och datum.
Underlag: Åtgärdslista
Nästa uppföljning är planerad: varje år för den högsta nivån, vid förnyelse och efter en förändring eller incident.
Underlag: Datum för uppföljning
Checklistan är en utgångspunkt, ingen juridisk standard. Anpassa den efter era leverantörer och efter vägledningen från er tillsynsmyndighet. Guiden om leverantörskrav enligt cybersäkerhetslagen förklarar kraven bakom den, och Hantera leverantörsrisk steg för steg visar hur kontrollerna passar in i en process.
Gör avsnitt 2 nu
Ange en leverantörs domän och se underlaget utifrån för varje punkt i avsnitt 2. Leverantören kontaktas inte.