Vad ett uppdragsgivare kräver från ICT-tjänstleveransen efter NIS2
En uppdragsgivare som själv omfattas av NIS2-skyddsplikt måste påvisa att han även hanterar risker i sin försörjningskedja. Om ni tillhandahåller fjärrhantering, hosting, applikationshantering eller helpdesk till sådan uppdragsgivare, kommer det att återspeglas i kontraktet: krav på vem som har åtkomst till system, hur denna åtkomst loggas, och om ni anlitar underleverantörer utan att anmäla detta i förväg.
Kraven i sig varierar beroende på uppdragsgivare och sektor, men ett antal ämnen återkommer nästan alltid: åtkomstkontroll, loggning av hanteringsåtgärder, anmälningstider vid en incident på er sida, och insyn i vilka andra som är involverade i arbetet. Det senare — underleverantörer — är det ämne där frågeformuläret oftast stannar upp för många ICT-tjänstleverantörer.
Varför detta nu står i kontraktet
NIS2-direktivet förpliktar berörda organisationer, enligt artikel 21, att även bedöma säkerheten hos sina leverantörer och tjänstleverantörer. En uppdragsgivare som själv är revisionspliktad kan inte påvisa detta med ett löfte muntligt; han behöver ett skriftligt avtal som han kan visa för sin egen tillsynsmyndighet. För er som ICT-tjänstleverantör innebär det: samma fråga kommer tillbaka, bara nu fastställd i ett tillägg eller bilaga till avtalet i stället för i ett löst e-postmeddelande.
Det är en förskjutning i form, inte nödvändigtvis i innehål. Mycket av det som efterfrågas gjorde ni förmodligen redan som administratör. Det nya är att ni måste kunna påvisa det, med ett datum och ett namn.
Åtkomst till kundsystem: vad som exakt efterfrågas
Uppdragsgivare frågar alltmer ofta om en översikt över vem som har åtkomst till dem, med vilka rättigheter, och hur denna åtkomst återkallas när någon lämnar teamet. Multifaktorautentisering för administratörsåtkomst är nu ett vanligt krav, liksom en logg som registrerar när och av vem ett system öppnades. Vissa kontrakt kräver dessutom en fast kontaktpunkt på er sida, så att uppdragsgivaren inte är beroende av vem som har tjänst den veckan.
Uppdragsgivarens underliggande fråga är alltid densamma: kan han, om något går fel, spåra vem som hade åtkomst var och när. Det är också anledningen till att allmänna svar som "vi arbetar enligt bästa praxis" sällan är tillräckliga — det begärs ett konkret bevis, inte en avsikt.
Fjärrhantering: extra uppmärksamhet på autentisering och loggning
Fjärrhantering får sin egen paragraf i många frågeformulär, just för att en angripare som kommer in där i ett steg kan nå flera kunder. Frågorna handlar om kryptering av anslutningen, om åtkomst till fjärrhantering är skild från er företags vanliga nätverk, och hur snabbt ni kan avsluta en session om ni misstänker missbruk. Även här gäller: det handlar inte om ett omdöme om hur bra er säkerhet är, utan om huruvida ni kan visa det.
Den som får denna typ av frågor för första gången upplever det ofta som en engångsåtgärd för en kund. I praktiken är beviset som ni samlar in för en uppdragsgivare, med små ändringar, även användbart för nästa. gå igenom ämnena per situation ger en bild av vilka frågor som återkommer för vilken typ av tjänstleverans.
Underleverantörer: risken som ni inte ensam kontrollerar
Det svåraste för många IT-tjänsteleverantörer är inte sin egen säkerhet, utan säkerheten hos de parter de anlitar: en värdtjänstleverantör, en övervakningsstjänst, en frilansspecialist. En uppdragsgivare som själv är föremål för skyldigheter enligt NIS2, vill veta om du använder underleverantörer, vilka de är och om de uppfyller jämförbara krav. Vissa kontrakt förpliktar dig att meddela ändringar i denna leverantörskedja i förväg, eller att avtalsvägen genomföra samma säkerhetskrav gentemot dina egna leverantörer.
Det är inte alltid lätt för ett litet IT-företag att ordna detta, särskilt inte om underleverantören själv inte förstår varför denna fråga plötsligt ställs. Ett första steg är en enkel översikt: vem gör vad för dig, och vilket avtal har du träffat om detta. Utan denna översikt blir varje ny enkät återigen en omfattande utredning.
Vad du kan och inte kan åta dig
Det är klokt att endast inkludera åtaganden i ett kontrakt som du också kan underbygga. En uppdragsgivare som frågar om svarstider vid en incident, en 24/7-tjänst eller en garanti för att inget kan gå fel, frågar i själva verket om ett löfte som få IT-tjänsteleverantörer kan fullgöra utan att inrätta en separat, dyr tjänst för detta ändamål. Det är upp till dig och, vid behov, en jurist att bedöma vilka klausuler som är rimliga och vilka som går längre än vad uppdragsgivarens skyldigheter enligt NIS2 faktiskt kräver.
Huruvida din egen organisation direkt omfattas av NIS2-skyldigheterna — som väsentlig eller viktig enhet, eller genom leverantörskedjan — kan granskas med några få frågor. Denna distinktion avgör om du endast förbereder svar för dina kunder, eller om du även måste föra ett eget register.
Sätt igång
I slutändan spelar inte din avsikt någon roll för uppdragsgivaren, utan endast huruvida svaret på hans fråga är klart när han frågar. Om du en gång per åtgärd har dokumenterat en status, ett bevisstycke och en ansvarig person, behöver du inte söka på nytt nästa gång en enkät kommer. Se vad registret och enkäterna kostar om du vill hantera denna förberedelse strukturerat, eller läs först vanliga frågor om hur plattformen fungerar.
Börja utan bindning med den kostnadsfria NIS2-kontrollen för att se om din organisation själv omfattas av skyldigheterna, är påverkad genom leverantörskedjan, eller ingen av delarna — och läs vidare i kunskapsbanken om de ämnen som är relevanta för din sektor.