NIS2 och säkerhet i leveranskedjan: så bedömer du IT-leverantörer, integratörer och underleverantörer

Säkerhet i leveranskedjan börjar inte med att samma frågeformulär skickas till alla leverantörer. Först behöver organisationen fastställa vilka verksamhetsprocesser som är beroende av respektive leverantör, vilken åtkomst leverantören har och vilka konsekvenser ett avbrott, en incident eller en fördröjd reaktion kan få. Först därefter går det att välja rätt bedömningsnivå, bevisning, avtalskrav och uppföljning. Annars kontrollerar organisationen främst att dokumentationen är formellt komplett, inte den faktiska risk som är förknippad med IT-tjänster, integratörer och underleverantörer.

Leverantören som en del av organisationens motståndskraft

Leverantörsrisken beror inte enbart på sårbarheter i leverantörens system eller nivån på de tekniska säkerhetsåtgärderna. Den uppstår framför allt när en extern tjänst, personalresurs, programvara eller infrastruktur är avgörande för kontinuiteten i organisationens processer. Tillsynens omfattning bör därför inte styras av avtalsvärdet, leverantörens storlek eller enbart typen av inköpt tjänst. Det avgörande är konsekvenserna av otillgänglighet, röjande av konfidentiell information, förlust av dataintegritet eller fördröjd incidenthantering.

Arbetet bör börja med ett tydligt ansvar. Verksamhetsprocessens ägare identifierar beroendet och bedömer dess operativa betydelse. Informationssäkerhetsfunktionen bedömer exponeringen, inköpsfunktionen för in kraven i urvalskriterier och avtal, medan IT verifierar åtkomstens omfattning och de tekniska lösningarna. Organisationen behöver också fastställa vem som klassificerar risken, godkänner avsteg från krav, följer upp avtalet och samordnar arbetet vid en incident. Utan ett sådant ansvar blir leverantörsformuläret ett dokument utan ägare och risken fördelas otydligt mellan olika funktioner.

En mindre integratör med fjärråtkomst och privilegierade behörigheter till produktionsmiljön kan innebära större exponering än en stor leverantör av kontorstjänster, trots ett betydligt lägre avtalsvärde. Ett driftfel, ett kapat tekniskt konto eller otillgänglig personal hos integratören kan direkt stoppa produktionen eller försvåra återställningen. En fördjupad bedömning bör därför i första hand omfatta leverantörer som är knutna till kritiska processer, har fjärråtkomst eller privilegierad åtkomst, behandlar skyddsvärd information eller medverkar i incidenthantering och återställning av verksamheten.

Först när dessa beroenden är kartlagda går det att på ett relevant sätt koppla processen till NIS2-kraven på riskhantering, säkerhet i leveranskedjan och ledningens ansvar, med hänsyn till tillämplig nationell lagstiftning. Ledningen ska inte ersätta den tekniska bedömningen. Den bör däremot fastställa principerna för leverantörsklassificering, fördelningen av riskägarskap och formerna för att godkänna avsteg. Användbara nyckeltal är antalet kritiska processer som är beroende av externa tjänster samt antalet leverantörer med privilegierad åtkomst eller fjärråtkomst. Ett bredare perspektiv på dessa beslut finns i NIS2 i ledningspraktiken: att omsätta krav i beslut, ansvar och faktisk organisatorisk motståndskraft.

Segmentera efter konsekvens och åtkomst

Ett enhetligt frågeformulär för alla leverantörer ger inte en bedömning som står i proportion till risken. Segmenteringen bör väga samman konsekvensen av att tjänsten inte är tillgänglig, typen av information som behandlas, behörigheternas omfattning, risken för att en incident sprids till den egna miljön och möjligheten att ersätta leverantören. Klassificeringen bör utgå från den tid som processen enligt verksamhetskonsekvensanalysen kan fungera utan tjänsten samt från antalet beroende processer och platser. Avtalsvärde och leverantörens storlek kan vara stödjande faktorer, men beskriver varken tekniska beroenden, tolererbar avbrottstid eller kostnaden för ett säkert leverantörsbyte.

Trösklarna för grundläggande bedömning, fördjupad bedömning och revision bör kopplas till mätbara kriterier. Revision kan vara motiverad när ett leverantörsavbrott skulle överskrida den tolererbara avbrottstiden, när leverantören har privilegierad åtkomst eller när tjänsten inte kan ersättas utan en väsentlig teknisk förändring. En fördjupad bedömning är lämplig vid begränsad åtkomst, behandling av information med särskilt skyddsbehov eller beroenden i flera led. Övriga leverantörer kan omfattas av en grundläggande bedömning, förutsatt att de inte tillsammans skapar en koncentrerad risk.

För en leverantör av HR-system bör bedömningen fokusera på informationsklassning, behörigheter och återställning av data. En automationsintegratör bör främst bedömas utifrån fjärråtkomst, konfigurationsändringar och förmåga att ge stöd efter en incident. En underleverantör som servar utrustning kanske saknar systemåtkomst, men frånvaro kan ändå stoppa processen på grund av brist på reservdelar, kompetens eller dokumentation. Beroendena mellan IT-system, operativ teknik och produktionskontinuitet behandlas mer utförligt i NIS2 för tillverkningsföretag: vilka som omfattas, vilka skyldigheter som införs och hur organisationen förbereds utan att frågan reduceras till IT.

Klassificeringen får inte ligga oförändrad under hela avtalsperioden. Den behöver omprövas när tjänstens omfattning, åtkomst, arkitektur, underleverantörer, behandlad information eller processens betydelse förändras. Den bör även bekräftas periodiskt när avtalsvillkoren är oförändrade. På så sätt kan nivån på tillbörlig aktsamhet anpassas till den faktiska exponeringen, samtidigt som organisationen kan visa att styrningen av leveranskedjan bygger på en konsekvensbedömning och inte bara på en administrativ indelning av leverantörerna.

Bevis i stället för utfästelser

Leverantörsbedömningen bör avse hur kontrollerna faktiskt genomförs, inte bara om policyer och rutiner finns. Frågorna bör omfatta hantering av åtkomst, sårbarheter och ändringar, säkerhetskopiering, händelseövervakning, incidenthantering, kontinuitet, personalsäkerhet och styrning av underleverantörer. Svaret ”vi har infört en rutin” är inte tillräckligt om det saknar uppgifter om ansvarig funktion, kontrollfrekvens, dokumentation av resultat och hantering av avvikelser. Även generellt material som inte kan kopplas till den beställda tjänsten, platsen eller leveransmiljön bör ses som en varningssignal.

En miniminivå för bevisning bör fastställas för varje leverantörsklass innan bedömningen börjar. Vid lägre risk kan svar från processägaren, styrkta med aktuella dokument och exempel på redovisande dokumentation, vara tillräckliga. När kritikaliteten ökar bör organisationen begära testresultat, driftloggar, mätetal för kontrollernas genomförande och oberoende bedömningar. För kritiska tjänster kan en teknisk intervju, distansbedömning eller revision på plats vara motiverad. Metoden bör bland annat väljas utifrån möjligheten att verifiera säkerhetsåtgärder utan åtkomst till infrastrukturen och konsekvensen av en felaktig uppgift. Det är lämpligt att registrera datum och resultat för det senaste återställningstestet av en väsentlig tjänst samt åtgärdstider för sårbarheter enligt leverantörens fastställda kritikalitetsnivåer.

Uppgiften att säkerhetskopiering genomförs illustrerar tydligt skillnaden mellan en utfästelse och ett verifierbart bevis. Den visar inte om säkerhetskopiorna är separerade från produktionsmiljön, vem som kan radera dem, hur ofta återställning testas eller vilket resultat det senaste testet gav. Den klargör inte heller vem som ansvarar för att återställa hela tjänsten: infrastrukturleverantören, programvarutillverkaren, integratören eller kunden. Relevant bevisning omfattar därför inte bara en beskrivning av principerna, utan även dokumentation från det senaste testet, omfattningen av återställda data och funktioner, identifierade avvikelser samt bekräftelse på att orsakerna till eventuella misslyckanden har åtgärdats. Undvikande svar kännetecknas ofta av att datum, omfattning och ansvar saknas eller att bevisningen inte kan knytas till den aktuella tjänsten.

Ett certifikat för ett ledningssystem är värdefull stödjande bevisning, men ersätter inte organisationens tillbörliga aktsamhet. Kontrollera certifikatets omfattning, giltighetstid, berörda platser och tjänster samt om dessa motsvarar det som faktiskt köps in. Certifiering av huvudkontoret behöver inte omfatta datacentret, driftteamet eller den underleverantör som utför en kritisk del av tjänsten. Certifikatet kan ingå i en grundläggande bedömning. Vid ett kritiskt beroende bör det dock kompletteras med operativ bevisning och, vid väsentliga brister, även med revision. Kopplingen mellan säkerhetsåtgärder och processansvar beskrivs också i TISAX för ledningssystemansvariga och kvalitetsingenjörer – att integrera informationssäkerhet med företagets processer. Säkerhetsarbetet bör inte begränsas till IT-dokumentationen.

Avtalet som styrmekanism

Avtalet med en kritisk leverantör bör omsätta riskbedömningen i skyldigheter som kan genomföras och verifieras. En sekretessklausul är inte tillräcklig. Villkoren bör omfatta rapportering av händelser, tillgång till den information som krävs för att bedöma konsekvenserna, leverantörens medverkan i analys och återställning, upprätthållande av överenskomna säkerhetsåtgärder, ändringshantering samt regler för användning av underleverantörer. För den aktuella tjänsten bör organisationen även avtala om tillgänglighet, återställning och lagringstider som motsvarar verksamhetsprocessens behov, inte enbart leverantörens standardiserade tjänstebeskrivning.

Det är avgörande att utse en ägare för förhandlingen av säkerhetskraven och fastställa gränser för vilka avtalsavsteg som får godkännas. Inköpsfunktionen kan leda avtalsprocessen, men bör inte ensam avgöra om ansvarsbegränsningar, vägran att acceptera revision eller fri rätt att lägga ut tjänster på underleverantörer är acceptabla. Sådana avsteg behöver bedömas av processägaren, informationssäkerhetsfunktionen, kontinuitetsansvariga och juridisk funktion utifrån riskens karaktär. Om en dominerande leverantör inte accepterar kundens villkor bör beslutet inte reduceras till att leverantörens standardavtal godtas utan villkor. Organisationen kan bedöma alternativa skyddsåtgärder, begränsa tjänstens omfattning, förstärka övervakningen eller formellt acceptera risken med dokumenterad motivering och utsedd riskägare.

En klausul om rapportering ”utan onödigt dröjsmål” har begränsat operativt värde om den inte anger rapporteringskanal, minsta informationsinnehåll, kontaktpunkter och personer med mandat att fatta beslut. Den avtalade rapporteringstiden måste ge organisationen en verklig möjlighet att bedöma händelsen och fullgöra sina egna skyldigheter. Leverantören bör åtminstone lämna en beskrivning av händelsen, ange berörda tjänster och data, redovisa känd eller förväntad påverkan, vidtagna begränsningsåtgärder och tidpunkten för nästa uppdatering. Avtalet bör också reglera tillgången till tekniska loggar och relevanta specialisters deltagande i orsaksanalys och återställning.

På samma sätt innebär en avtalsenlig revisionsrätt inte automatiskt effektiv kontroll. Om avtalet inte anger när revision får initieras, vilken bevisning som ska vara tillgänglig, hur konfidentiell information ska skyddas, hur kostnader ska hanteras och inom vilka tidsramar korrigerande åtgärder ska avtalas och genomföras, kan klausulen visa sig oanvändbar just under en incident. Klausulernas omfattning bör styras av leverantörens kritikalitet och möjligheten att ersätta tjänsten. En omfattande kravlista som aldrig följs upp skapar en skenbar kontroll och ökar kostnaden för avtalsförvaltningen. Relevanta mätetal är antalet avsteg som kräver formellt riskgodkännande och andelen avtalsåtaganden som fullgörs i tid.

Kostnaden för avtalsändringar omfattar mer än juridiskt arbete. Den innefattar även förnyad leverantörsbedömning, förhandling, revision, uppföljning av överenskomna parametrar och införande av ytterligare säkerhetsåtgärder. Dessa beroenden bör tas med i den budget som beskrivs i Vad kostar införandet av NIS2 och uKSC – så budgeterar du för revision, dokumentation, utbildning och säkerhetsåtgärder utan kostsamma felbedömningar. Avtalet fyller sin funktion först när organisationen har utsett en ansvarig för uppföljningen, samlar in bevis på att skyldigheterna fullgörs och har en beslutad metod för förändring eller avslutning av tjänsten.

Uppföljning efter avtalstecknandet

Den inledande bedömningen blir snabbt inaktuell om tjänstens omfattning, lösningsarkitekturen, leverantörens ägare, platsen för behandlingen, underleverantörerna eller åtkomsten till system och information förändras under avtalsperioden. Uppföljningen bör därför omfatta periodiska granskningar med en frekvens som styrs av tjänstens kritikalitet samt bedömningar som utlöses av definierade händelser. Leverantörer med stor påverkan på verksamhetskontinuiteten behöver kontrolleras oftare än leverantörer av lätt utbytbara tjänster utan privilegierad åtkomst.

Uppföljningscykeln behöver ha en ägare, fastställda eskaleringströsklar och krav på redovisande dokumentation. Det räcker inte att följa tjänstenivåerna. De behöver kopplas till uppgifter om incidenter, resultat från kontinuitets- och återställningstester, status för korrigerande åtgärder, ändringar bland underleverantörer och tecken på försämrad operativ förmåga hos leverantören. En extra bedömning utanför ordinarie plan bör bland annat utlösas av:

• en väsentlig förändring av tjänstens omfattning eller åtkomsten;
• flytt av behandlingen;
• byte av en underleverantör som påverkar tjänstens leverans;
• upprepade överträdelser av tjänstenivåerna;
• avvikelser som inte stängs inom avtalad tid;
• en händelse som visar på otillräcklig incidenthanteringsförmåga.

En leverantör som bedömdes positivt när avtalet ingicks kan ett år senare använda ett nytt datacenter eller ha lagt ut en del av tjänsten på en underleverantör. Tjänstens namn och deklarerade omfattning kan vara oförändrade, samtidigt som de tekniska beroendena, behandlingsplatsen, återställningsmetoden och tillgången till bevisning har förändrats. Utan en mekanism för att rapportera sådana förändringar följer organisationen upp en historisk, inte en aktuell, riskprofil. Användbara mätetal är antalet förändringar av omfattning, åtkomst eller underleverantörer som kräver ombedömning, antalet incidenter och överträdelser av tjänstenivåerna samt andelen korrigerande åtgärder som stängs inom överenskommen tid.

En konstaterad avvikelse behöver inte automatiskt leda till att samarbetet avslutas. Beslutet bör ta hänsyn till avvikelsens konsekvens, tiden för att åtgärda den, möjligheten att ersätta tjänsten och risken under övergångsperioden. Organisationen kan kräva korrigerande åtgärder, införa kompenserande skyddsåtgärder, tidsbegränsat acceptera risken med ett fastställt datum för ny prövning, begränsa åtkomsten eller aktivera en plan för leverantörsbyte. Varje alternativ behöver en beslutsägare, en tidsfrist, ett avslutskriterium och bevis på effekt – inte enbart bekräftelse på att en aktivitet har genomförts.

Hela mekanismens effektivitet bör regelbundet verifieras genom dokumentation, incidentövningar och organisationens förmåga att fatta beslut när riskbilden förändras. En användbar referens vid planeringen är NIS2-revision i ett tillverkningsföretag – så bedömer du om organisationen är förberedd för de nya skyldigheterna. Revisionen bör inte bara bekräfta att det finns en granskningsplan, utan också att varningssignaler leder till eskalering, att avvikelser stängs enligt beslutade kriterier och att leverantörsrisken förblir kopplad till kontinuiteten i organisationens processer.

Ett revisionsbart program för leverantörsbedömning

Ett program för leverantörsstyrning är revisionsbart när det fungerar som en sammanhållen beslutsmekanism, inte som en samling frågeformulär, klausuler och utspridda register. Minimiomfattningen är ett leverantörsregister med processmässiga och tekniska beroenden, segmenteringskriterier, beslutsroller, krav för respektive leverantörsklass, bedömning av bevisning, avtalsprinciper, uppföljning, eskalering och hantering vid avslutat samarbete. Revisionsprogrammet och riskregistret bör använda samma klassificeringar, ägarroller och kriterier för riskacceptans.

Vid begränsade resurser bör pilotgruppen väljas bland leverantörer som stöder kritiska processer, har privilegierad åtkomst eller är svåra att ersätta. Därefter kan omfattningen utökas utifrån risknivå och resultat från de första bedömningarna. Att samtidigt försöka omfatta hela leverantörsbasen ökar vanligen den administrativa kostnaden utan motsvarande riskreduktion. Ledningen bör besluta om bedömningsordning, plan för att åtgärda brister och budget samt hantera risker som ligger utanför fastställda operativa mandat.

Vid en revision är ett sammanhängande beslutsspår mer övertygande än en omfattande rutin: leverantörens klassificering, motiveringen till kraven, bedömd bevisning, relevanta avtalsvillkor, dokumentation från uppföljning och avvikelser samt formellt riskgodkännande eller beslut om korrigerande åtgärder. Beredskapen kan mätas genom andelen leverantörer som klassificerats och bedömts inom programmet, genomförandegraden för planerade bedömningar av kritiska leverantörer och antalet risker som saknar ägare, åtgärdstid eller godkänt beslut.

Den rättsliga och normativa hänvisningen bör slutföra utformningen av processen, inte ersätta dess logik. NIS2-kraven behöver omsättas i ansvar, kriterier, redovisande dokumentation och verifierbar bevisning, med hänsyn till tillämplig nationell genomförandelagstiftning och i vilken omfattning organisationen berörs. Ett branschexempel på detta arbetssätt är ISO 19443 – en väg in i leveranskedjan för den polska kärnkraftssektorn, där kvalificering och styrning av leverantörer bidrar till organisationens förmåga att uppfylla säkerhetsrelaterade krav.