NIS2, cybersäkerhetslagen och underlag utifrån

NIS2, direktiv (EU) 2022/2555, kräver att väsentliga och viktiga verksamhetsutövare hanterar sina cybersäkerhetsrisker, och artikel 21 räknar upp vilka åtgärder det innebär. I Sverige genomförs direktivet genom cybersäkerhetslagen (SFS 2025:1506), som gäller från den 15 januari 2026. Hur det påverkar kraven på era leverantörer går vi igenom i guiden om leverantörskrav. Flera av åtgärderna lämnar spår som vem som helst kan se från internet: om e-posten är autentiserad, om tjänsterna är krypterade med giltiga certifikat och om webbtrafiken tvingas över till HTTPS.

TrustSek kopplar sina fynd till de åtgärderna, så att ett fynd visar vilken del av artikel 21 det gäller. Det fungerar också för era leverantörer: ni kan bedöma en leverantörs domän utan att be dem om något, vilket ger arbetet med säkerhet i leveranskedjan en dokumenterad utgångspunkt som går att upprepa. Mer om det finns under lösningar för företag.

Vad artikel 21 kräver

Artikel 21.2 räknar upp tio åtgärder, och cybersäkerhetslagen genomför samma krav. Underlag utifrån säger något direkt om fyra av dem: de vars resultat syns på en publik domän. Resten sker inne i organisationen, där ingen kontroll utifrån kan se.

Fynden som talar emot e, g, h och j listas nedan, vart och ett med en länk till modulen som förklarar fyndet och hur ni åtgärdar det.

Så granskar ni leverantörer med underlaget

Enligt artikel 21.3 ska ni ta hänsyn till de sårbarheter som är specifika för varje direkt leverantör och till den övergripande kvaliteten på leverantörernas cybersäkerhetsarbete, det som ofta kallas tredjepartsrisk. Ett frågeformulär visar vad leverantören säger. Underlag utifrån visar en del av vad den gör. I praktiken:

1. Lista de direkta leverantörer som spelar roll: de som hanterar era uppgifter, driver tjänster ni är beroende av eller är anslutna till era system.
2. Bedöm varje leverantörs domän. Det kräver varken åtkomst eller samarbete, så ni kan börja innan leverantören har svarat på något.
3. Fråga om konkreta fynd, inte om allmänna kontroller. ”Er e-postdomän publicerar ingen DMARC-policy” ger ett snabbare och ärligare svar än ”Skyddar ni er mot förfalskad e-post?”.
4. Spara den daterade rapporten med er leverantörsbedömning, och kontrollera igen när avtalet förnyas eller leverantörens roll ändras.

Vad underlaget inte täcker

Underlag utifrån kan inte visa om ni har en process för riskhantering, incidenthantering och incidentrapportering, planer för kontinuitet, utbildning av personalen eller styrning på plats. Det är merparten av det som NIS2 och cybersäkerhetslagen kräver. En bra poäng är inget bevis på att ni uppfyller kraven, och ett fynd är ingen juridisk bedömning. Använd underlaget som ett komplement till er egen bedömning, inte i stället för den.

Frågor

Betyder en bra poäng att vi uppfyller NIS2 och cybersäkerhetslagen?

Nej. Underlag utifrån säger något om fyra av de tio åtgärderna i artikel 21, och bara om den del av dem som syns på internet. Att uppfylla kraven beror också på styrning, processer och kontroller som ingen kontroll utifrån kan se.

Måste leverantörerna godkänna att de bedöms?

Nej. Poängen bygger på öppet underlag och kräver ingen åtkomst till leverantörens system. Att berätta för leverantören att ni bedömer den på det här sättet, och dela fynden, brukar ändå göra uppföljningen enklare.

Från när gäller cybersäkerhetslagen?

Cybersäkerhetslagen (SFS 2025:1506) gäller från den 15 januari 2026 och genomför NIS2 i Sverige. Vilka verksamheter som omfattas och vilka föreskrifter som gäller beskriver tillsynsmyndigheterna.