Leverantörskedjan: kravet som sprider regelverket vidare

Artikel 21.2 d anger säkerhet i leverantörskedjan, inbegripet säkerhetsrelaterade aspekter av förhållandet mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer.

Två ord i den formuleringen gör arbetet. Förhållandet, alltså relationen och inte bara kontraktet. Och direkta, vilket avgränsar kravet till era egna leverantörer snarare än till hela kedjan i oändlighet.

Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteter vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem.

Regelverket har ingen mekanism för att träffa er direkt om ni står utanför. Det behöver det inte heller, eftersom kravet på era kunder gör jobbet.

En verksamhetsutövare som ska kunna visa att den hanterat risker i leverantörskedjan behöver underlag om er. Det underlaget samlas in genom frågeformulär, avtalsvillkor och ibland genom att kräva certifiering eller testresultat.

För ett mindre bolag betyder det att den praktiska efterlevnadsbördan kan komma innan, och ibland i stället för, den formella.

Kravet är att åtgärderna ska vara lämpliga och proportionella, och det gäller leverantörsbedömningen lika mycket som allt annat. En likformig granskning av samtliga leverantörer är sällan proportionell och tar resurser från de som betyder något.

Det som styr är kritikalitet: vilken åtkomst leverantören har, hur svår den är att ersätta, och vad ett avbrott hos dem gör med er tjänst. En molnleverantör med produktionsåtkomst och en kontorsmaterialleverantör hör inte hemma i samma mall.

1. 01Inventera direkta leverantörerKravet gäller direkta leverantörer och tjänsteleverantörer. Börja där i stället för att kartlägga hela kedjan.
2. 02Klassa efter kritikalitetÅtkomst, utbytbarhet och konsekvens vid avbrott. Klassningen motiverar hur djupt ni granskar.
3. 03Ställ frågor ni kan värderaEtt svar ni inte kan bedöma är dokumentation utan innehåll. Fråga om det ni skulle märka om det saknades.
4. 04Skriv in det i avtaletRätt att få information vid incident, och krav på att bli underrättad. Utan avtalsstöd är ni beroende av välvilja när det gäller.
5. 05Följ upp, inte bara vid upphandlingEn bedömning gjord vid avtalstecknandet åldras. Punkt f i artikel 21 gäller även leverantörsarbetet.

En leverantörsbedömning utan avtalsstöd är en åsikt. Det som gör den användbar vid en verklig incident är rätten att få information, och skyldigheten för leverantören att underrätta er.

Tre klausuler bär det mesta: underrättelse vid incident som kan påverka er tjänst, rätt att begära underlag om säkerhetsåtgärder, och krav på att väsentliga underleverantörer omfattas av samma villkor. Utan den sista går kedjan sönder ett steg bort.

Molntjänster gör ansvarsfördelningen svårare att beskriva men inte mindre er. Leverantören svarar för plattformen, ni svarar för konfigurationen, och gränsen mellan dem är där de flesta incidenter uppstår.

Det praktiska är att veta vilken sida av gränsen varje kontroll ligger på, och att kunna visa det. En felkonfigurerad åtkomstregel är er risk även när plattformen är någon annans.

En incident hos en leverantör kan bli er rapporteringspliktiga incident. Tröskeln handlar om konsekvensen för er tjänst, inte om var i kedjan felet uppstod.

Det gör underrättelseklausulen till mer än en formalitet. Om leverantören berättar först efter en vecka har er egen 24-timmarsfrist redan passerat, och den räknas från när ni fick kännedom om incidenten.

Att få ett säkerhetsformulär från en kund är inte en artighetsfråga utan en del av kundens egen efterlevnad. Att inte kunna svara blir en risk i deras bedömning, och den risken hanteras med avtalsvillkor eller genom att byta leverantör.

Det billigaste svaret är att förbereda underlaget en gång: hur ni hanterar åtkomst, hur ni upptäcker och rapporterar incidenter, vad ni gör med era egna underleverantörer, och vad ni faktiskt testat. Det sista är det som skiljer ett svar som går att värdera från ett som bara är en policy.