IT-leverantörsavtal efter NIS2: säkerhetskrav, SLA och incidentrapportering

Ett IT-leverantörsavtal efter NIS2 bör inte begränsas till en försäkran om regelefterlevnad, en allmänt hållen säkerhetsklausul och ett månatligt tillgänglighetsmått. Avtalet behöver omsätta tjänstens risker i en tydlig ansvarsfördelning, mätbara servicenivåer, snabb incidentkommunikation, tillgång till verifierbara underlag och en genomförbar exitplan. Utgångspunkten är tjänstens kritikalitet och den faktiska kontrollfördelningen mellan parterna. Först därefter går det att fastställa vilka säkerhetsåtgärder, tidsfrister, granskningsrättigheter och rapporteringsskyldigheter som ska regleras.

Avtalet som mekanism för riskstyrning

En avtalsöversyn bör inte börja med en standardmall för säkerhetsklausuler, utan med en kartläggning av organisationens leverantörsberoenden. För varje leverantör behöver man identifiera berörda tjänster, processer, system, data och platser samt bedöma konsekvenserna av otillgänglighet eller säkerhetsincidenter. Prioritera beroenden där en störning kan stoppa verksamheten, försvåra fullgörandet av åtaganden eller begränsa organisationens förmåga att hantera en incident. Alla IT-tjänster behöver därför inte omfattas av samma avtalskrav.

Leverantörens kritikalitet bör klassificeras utifrån verksamhetskonsekvens och riskbedömning, inte enbart kontraktsvärde. Särskild uppmärksamhet krävs när organisationen ansvarar för kontinuitet och incidenthantering samtidigt som leverantören kontrollerar teknisk information, händelseloggar, säkerhetskopior eller den miljö som behövs för återställning. Organisationen behöver också utse en ägare för leverantörsrisken. Utan ett tydligt ägarskap blir ansvaret splittrat mellan inköp, IT, informationssäkerhet och processägare.

Avtalsinnehållet bör utformas utifrån störningsscenarier: tjänsteavbrott, angrepp, förlust eller skada på data, otillgänglig leverantörspersonal, avbrott i underleverantörskedjan och avslutat samarbete. För varje scenario behöver parternas åtgärder, ansvar, informationsflöde och villkor för återställning definieras. Dessa beslut ligger sedan till grund för tillgänglighetsnivåer, svars- och återställningstider, dokumentationskrav och granskningsrättigheter.

Ett löfte om hög tillgänglighet anger inte hur länge ett produktionsstyrningssystem får vara ur drift, när avbrottstiden börjar räknas eller vem som ska tillhandahålla informationen för incidentbedömningen. Det säkerställer inte heller tillgång till kopior av händelseloggar, uppgifter om underleverantörer eller data som möjliggör en säker migrering. Sådana luckor blir ofta synliga först vid ett avbrott, när ansvarsfördelningen inte längre kan lämnas underförstådd.

En hänvisning till NIS2 eller relevanta KSC-krav bör avsluta analysen av risk och ansvar, inte ersätta avtalets operativa innehåll. Ett bredare ledningsperspektiv finns i materialet NIS2 för tillverkningsföretag: vilka som omfattas, vilka skyldigheter som införs och hur organisationen kan förberedas utan att frågan reduceras till enbart IT. Avtalsändringarnas omfattning behöver alltid anpassas till organisationens roll, tjänstens kritikalitet och den faktiska kontrollfördelningen mellan parterna.

Tjänstens omfattning och ansvarsfördelning

Ansvarsfördelningen bör beskrivas i en teknisk bilaga och inte lämnas i en allmän definition av avtalsföremålet. Bilagan bör ange vilka tillgångar och miljöer som omfattas, typer av data, platser för behandling och tjänsteleverans, gränssnitt, supporttider och undantag. Utan dessa uppgifter går det inte att entydigt fastställa var leverantörens ansvar upphör, vilken händelse som startar SLA-mätningen eller vem som skyddar komponenterna i systemgränssnitten.

Säkerhetsåtgärder bör beskrivas genom förväntat resultat, ansvarig part och verifierbart underlag, medan tekniska detaljer hanteras i styrd teknisk dokumentation. Det minskar risken för att avtalet snabbt blir inaktuellt. Leverantörens standardkontroller kan godtas först efter att de har jämförts med riskerna i den aktuella tjänsten och identifierade luckor har åtgärdats. Ansvarsmatrisen bör skilja mellan kontrollägare, utförare och den part som får godkänna avvikelser.

Om leverantören administrerar miljön bör avtalet även reglera privilegierad åtkomst: åtskillnad av arbetsuppgifter, autentiseringsmetod, registrering av administrativa aktiviteter och omedelbar återkallelse av behörigheter vid rollbyte eller avslutat samarbete. En uppgift om att säkerhetskopior tas är inte tillräcklig om kunden inte vet vem som krypterar dem, var de lagras, vem som kan återställa dem och vilket dokument som verifierar resultatet av återställningstestet.

Leverantören bör hålla en aktuell förteckning över underleverantörer som påverkar tjänsten, med beskrivning av deras roller och behandlingsplatser, samt föra vidare krav som är minst lika långtgående som dem som avtalats med kunden. Avtalet behöver fastställa vilka förändringar som kräver förhandsgodkännande och vilka som endast kräver underrättelse och en förnyad riskbedömning. Ett certifierat ledningssystem kan stödja bedömningen men ersätter inte ansvar som måste definieras för den specifika tjänsten. Sambandet utvecklas i materialet NIS2 och SS-EN ISO 27001: vad certifikatet ger och vad som fortfarande saknas för överensstämmelse med KSC.

Säkerhetsklausuler som går att verifiera

En säkerhetsklausul blir uppföljningsbar först när den definierar förväntat resultat, tillämpningsområde, genomförandefrekvens, verifieringsmetod och hantering av avvikelser. Formuleringar som ”enligt bästa praxis” eller ”med vederbörlig omsorg” kan komplettera kraven, men gör det inte möjligt att bedöma om leverantören har fullgjort sitt åtagande. För varje kontroll behöver kravägare, lagringstid för underlag och den part som får godkänna undantag anges.

Kraven bör åtminstone omfatta hantering av sårbarheter och uppdateringar, säker konfiguration, kryptering, skydd och lagring av händelseloggar, säkerhetskopiering, återställningstester, ändringshantering och åtkomstkontroll. Frekvensen för behörighetsgranskningar, återställningstester och rapportering samt tidsfrister för att hantera sårbarheter ska utgå från tjänstens riskbedömning. Samma intervall och tidsfrister bör inte tillämpas på alla leverantörer.

Varje avvikelse bör registreras med motivering, slutdatum, riskägare och kompensatoriska säkerhetsåtgärder. Ett godkännande förutsätter en bedömning av om åtgärderna faktiskt reducerar risken till en nivå som organisationen har accepterat.

Ett krav på regelbunden säkerhetskopiering är ofullständigt om det inte anger vilka data och system som omfattas, lagringstid, skydd mot ändring eller radering, åtkomstregler och frekvens för återställningstester. Det bör också framgå hur leverantören rapporterar en misslyckad säkerhetskopiering eller test, vem som godkänner korrigerande åtgärder och vilken rapport som visar att åtgärderna har slutförts. På motsvarande sätt behöver skyldigheten att åtgärda sårbarheter omfatta klassificeringsmetod, riskbaserade tidsfrister, regler för uppskjutna uppdateringar och dokumentation av tillfälliga skyddsåtgärder.

Underlagen bör delas in i sådana som lämnas periodiskt och sådana som görs tillgängliga på begäran. Den första gruppen kan omfatta sårbarhetssammanställningar, uppdateringsrapporter, resultat från återställningstester och bekräftelser på behörighetsgranskningar. Efter en incident, en väsentlig förändring eller en konstaterad avvikelse kan detaljerade testresultat, händelseloggar, ändringshistorik, undantagsregister och planer för korrigerande åtgärder behövas. Omfattning, ägarskap och lagringstid kan kopplas till principerna i Dokumentation för NIS2 och KSC inför tillsyn: vilka policyer, register och underlag som faktiskt behöver finnas.

Rätten till verifiering bör vara graderad och praktiskt genomförbar även för molnleverantörer. Den första nivån kan omfatta dokumentgranskning och ett klargörande möte, nästa nivå oberoende rapporter eller överenskomna tester, medan revision på plats kan reserveras för förhöjd risk, en väsentlig incident eller brist på tillförlitliga underlag. Avtalet bör reglera tidsfrister, sekretess, teknisk omfattning och hantering av iakttagelser utan att ge kunden rättigheter som inte går att utöva i en delad miljö.

SLA för motståndskraft – inte bara tillgänglighet

SLA bör härledas från verksamhetskonsekvensanalysen och inte från leverantörens standardkatalog. Processägaren behöver först fastställa tolererad avbrottstid, acceptabel dataförlust och konsekvenser för produktion, kundservice, avräkning och rättsliga skyldigheter. Därefter kan mål för återställningstid, krav på ersättningstjänst och reservrutiner samt incidentprioriteringar fastställas. Ett månatligt tillgänglighetsmått visar inte om ett enskilt avbrott vid en kritisk tidpunkt stoppar processen längre än organisationen kan acceptera.

Utöver tillgänglighet bör avtalet ange tid för bekräftelse av ärendet, påbörjad diagnos, återställning av funktion och undanröjande av grundorsaken samt frekvens för lägesuppdateringar, eskaleringsnivåer och beredskap utanför ordinarie arbetstid. Svarstid är inte samma sak som återställningstid, och en reservlösning innebär inte att problemet är slutligt avhjälpt. Genom att skilja begreppen åt kan driftorganisationen se när arbetet kan återupptas och tjänsteägaren när leverantören ska ha avslutat grundorsaksanalysen och genomfört en varaktig korrigerande åtgärd.

För ett system som styr en produktionsprocess kan en kritisk incident kräva omedelbar eskalering och löpande kommunikation tills reservdrift har etablerats. Samma fel i en utbildningsmiljö kan ges lägre prioritet. Klassificeringen behöver därför utgå från verksamhetspåverkan och inte enbart från den tekniska felbeskrivningen. Om organisationen har tillförlitliga historiska data bör tröskelvärdena ta hänsyn till faktiska svars- och återställningstider, tillgänglighetsutfall och antalet återkommande störningar.

Mätmodellen bör ange datakälla, tidszon, när mätningen startar och stoppas, överenskomna servicetider, underhållsfönster och regler för ändring av incidentklass. Undantag från mätningen ska beskrivas i en sluten och verifierbar förteckning. De får inte omfatta händelser inom leverantörens ansvarsområde. Hur väl dessa villkor motsvarar den faktiska operativa beredskapen kan bedömas inom ramen för NIS2-revision i ett tillverkningsföretag – så bedöms om organisationen är redo för de nya skyldigheterna.

Servicekrediter och symbolisk ersättning återställer inte processen och begränsar inte konsekvenserna av ett driftstopp. Viktigare mekanismer är krav på åtgärdsplan, eskalering till ledningsnivå, ytterligare motståndskraftstester och rätt att säga upp avtalet vid varaktiga eller upprepade SLA-brott. Ekonomiska sanktioner kan förstärka ansvarstagandet men ersätter inte återställning, grundorsakshantering och förebyggande av nya avbrott.

Incidenter och rapporteringsskyldigheter

Avtalet bör ålägga leverantören att utan dröjsmål rapportera varje händelse som kan påverka tjänsten, data, verksamhetskontinuiteten eller kundens säkerhet. Den första underrättelsen får inte villkoras av att orsak, skadans omfattning eller händelsens rättsliga klassificering har fastställts fullt ut. Den avtalade tidsfristen behöver ge kunden tillräcklig marginal för en egen bedömning och för att uppfylla eventuella externa rapporteringsfrister. Tidsfristen bör baseras på tjänstens kritikalitet och tillgången till en kontaktpunkt dygnet runt, inte på parternas administrativa bekvämlighet.

Informationsflödet bör delas upp i en första varning, löpande lägesuppdateringar, incidentrapport och grundorsaksanalys. För varje steg ska informationsinnehåll, godkänd kanal, mottagare, uppdateringsfrekvens och eskalering vid utebliven kontakt definieras. Det första meddelandet bör åtminstone ange tidpunkt för upptäckt, berörda tillgångar och tjänster, förväntad påverkan, vidtagna åtgärder, tillgängliga tekniska indikatorer, bedömd risk för fortsatt spridning och tidpunkt för nästa uppdatering. Kontaktlistan behöver innehålla ersättare och testas regelbundet, även utanför ordinarie arbetstid.

Om leverantören upptäcker ovanlig trafik i den miljö där en kritisk applikation drivs bör kunden varnas innan leverantören har fastställt om en säkerhetsincident faktiskt har inträffat. Kunden aktiverar sin egen incidenthanteringsprocess, utser beslutsansvarig, involverar incidenthanteringsteamet och vid behov försäkringsgivaren samt fastställer vem som godkänner extern rapportering och kundkommunikation. Leverantören säkrar överenskomna loggar och tekniska spår och stödjer analys, begränsning och avgränsning av händelsen, men övertar inte kundens regulatoriska ansvar.

Klausulerna bör även reglera hur bevismaterial bevaras och lämnas ut, hur dess integritet skyddas, hur beslut dokumenteras och hur underlag för rapportering och efterföljande grundorsaksanalys tas fram. Tidsfrister, mottagare och omfattning för extern rapportering behöver alltid verifieras mot gällande rätt, organisationens status och händelsens art. Register över underrättelser, beslut, eskaleringar och åtgärder bör kopplas till materialet Dokumentation för NIS2 och KSC inför tillsyn: vilka policyer, register och underlag som faktiskt behöver finnas, medan anpassningsplanen kan knytas till Införande av NIS2 efter registrering i KSC-förteckningen – åtgärdsplan fram till den 3 april 2027.

Införande, uppföljning och säker exit

Ett undertecknat tilläggsavtal avslutar inte leverantörsstyrningen. Avtalsägaren bör regelbundet följa upp SLA-resultat, incidenter, avvikelser, korrigerande åtgärder, förändringar bland underleverantörer och aktualiteten i underlag som verifierar att kraven uppfylls. Uppföljningen bör baseras på ett avtalsregister som åtminstone innehåller förnyelsedatum, ansvarig ägare, tjänstens kritikalitet och status för överenskomna säkerhetsåtgärder. En försäkran om regelefterlevnad ersätter inte rapporter, testresultat eller dokumenterade bevis på genomförandet.

Inför en avtalsförlängning eller väsentlig förändring av tjänsten bör organisationen på nytt bedöma kritikalitet, tekniska och processrelaterade beroenden, koncentration av tjänster hos en leverantör, kontrollernas genomförbarhet och möjligheten att gå över till en alternativ lösning. Bedömningen visar om ett tilläggsavtal är tillräckligt eller om en ny upphandling krävs. Om en strategisk leverantör vägrar revision eller ändrade villkor bör organisationen dokumentera bristen och välja mellan kompensatoriska åtgärder, formellt godkännande av kvarstående risk eller leverantörsbyte.

Exitplanen måste vara genomförbar redan innan avtalet sägs upp. Den bör omfatta återlämning och överföring av data i ett användbart format, migreringsstöd, kontinuitet under övergångsperioden, återkallelse av behörigheter, radering av kopior och verifiering av att åtgärderna har slutförts. Samtidigt måste dokumentation som behövs för rättsliga, bevismässiga och revisionsrelaterade ändamål bevaras. Ett praktiskt test är att provåterställa data hos en annan leverantör och verifiera fullständighet, migreringstid och möjligheten att stänga de tidigare kontona.

Moderniseringen av avtalsportföljen bör börja med de tjänster som har störst verksamhetspåverkan, medan identifierade brister prioriteras efter konsekvens och angelägenhetsgrad. Mekanismernas effektivitet bör verifieras genom en incidentövning och en revision av ett urval underlag. Resultaten från SLA-uppföljning, incidenter, avvikelser, korrigerande åtgärder och exittester visar om kraven fungerar i praktiken eller endast finns på papperet.

Bedömningens omfattning kan kopplas till materialet NIS2-revision i ett tillverkningsföretag – så bedöms om organisationen är redo för de nya skyldigheterna. Organisationens skyldigheter behöver samtidigt fastställas med hänsyn till dess status, vilket behandlas i NIS2-direktivet – vilka omfattas och vilka företag måste uppfylla de nya kraven?