Varför du får denna checklista
Om ditt företag levererar något till en organisation som omfattas av direktivet (EU) 2022/2555 — en väsentlig eller viktig enhet, till exempel energibolag, sjukhus, stora transportföretag eller digital infrastruktur — ska denna kund bedöma sina egna leverantörer. Direktivet förpliktar nämligen denna kund att kartlägga riskerna i sin försörjningskedja, inte bara sina egna system. Det beskrivs i det som ofta kallas en riskhanteringsskyldighet, som återfinns i artikel 21 i direktivet. Den checklista som kommer till dig är den praktiska konsekvensen av detta: din kund måste kunna påvisa att han vet vilka hans leverantörer är och hur de hanterar säkerhet.
Det är viktigt att förstå: att du får en checklista betyder inte automatiskt att du själv omfattas av direktivet (EU) 2022/2555. De flesta företag som mottar sådan en lista är vad som ofta kallas leverantörskedjeberörda — de omfattas inte själva av lagen, men möter den ändå genom en kund. Du kan kontrollera om detta gäller din organisation och vilken typ av påverkan det är med en kort granskning som kartlägger din situation.
Vad det vanligtvis innehåller
De checklistor som cirkulerar för närvarande skiljer sig mycket åt beroende på den som upprättar dem — det finns ingen obligatorisk format enligt lagen. Ändå kommer vissa ämnen nästan alltid upp. Frågor om vem inom din organisation som är ansvarig för informationssäkerhet, om du har en policy för hantering av incidenter, hur du reglerar åtkomsten till system, om anställda får utbildning, och om du själv ställer krav på dina egna leverantörer. Vissa listor frågar dessutom om certifieringar, tidigare incidenter eller hur du hanterar uppdateringar och åtgärdsplaner.
Den bakomliggande tanken är alltid densamma: kunden försöker skapa en bild av risker som kan uppstå genom din leverans. Det är inte misstroende mot ditt företag specifikt, utan en skyldighet som kunden själv måste uppfylla. Om du vill förstå vilka tio åtgärder som ligger till grund för detta, hittar du denna förklaring i översikten över ämnen per situation.
Vad ett användbart svar kräver
Ett bra svar på en säkerhetschecklista är inte nödvändigtvis ett svar där du fyller i 'ja' överallt. Tillsynsmyndigheter och kunder tittar vanligtvis på konsekvens: stämmer dina svar överens med vad du faktiskt gör, och kan du underbygga det? En vag eller alltför optimistisk ifyllnad skapar oftare fler frågor på sikt än ett ärligt svar som identifierar en förbättringspunkt med en tidsplan.
Det hjälper att ha tre saker klara för varje fråga: vad den aktuella situationen är, vem inom din organisation som kan bekräfta det, och vilket bevisstycke som hör till det — ett policydokument, en skärmbild av en inställning, en träningsöversikt. Företag som inte behöver leta upp dessa tre punkter på nytt för varje fråga, utan redan har dokumenterat dem i en löpande register, kan vanligtvis fylla i en checklista på ungefär en timme istället för dagar. Det är exakt vad ett dossier med status, bevisstycke och ansvarig per åtgärd är till för.
Vad du inte behöver göra
Det är bra att veta att ifyllning och inlämning av denna checklista förblir ditt eget ansvar — en tjänst kan hjälpa dig med att förbereda och strukturera svar, men får aldrig lämna in något åt dig hos en kund eller tillsynsmyndighet. En revision, ett penetrationtest eller en certifiering är något helt annat än att fylla i en checklista; det är arbete för specialiserade parter, om en kund specifikt begär det.
Om du är osäker på om de frågor du får är rimliga i förhållande till din storlek och roll, är det ett samtal du bäst för direkt med kunden, eventuellt med en jurist om kraven läggs fast avtalsmässigt. Secria beskriver vad direktivet och den nationella lagstiftningen säger, men gör ingen bedömning av enskilda kontrakt.
Läs vidare
Vill du först veta var denna information kommer ifrån och hur den underhålls, läser du det på sidan om plattformens arbetssätt. Har du ännu inte en överblick över din egen position i leverantörskedjan, börja då med den kostnadsfria kontrollen — den ger inom ett par frågor en indikation och ett logiskt nästa steg, utan att du behöver ett konto för det.