På den här sidan
Även om ditt företag inte själv omfattas av NIS2 kan dina kunder göra det. Då kommer frågor och avtalskrav om cybersäkerhet till dig som leverantör.
Den här guiden handlar om NIS2-krav på leverantörer: vad verksamheter som omfattas av NIS2 måste göra gentemot sina leverantörer och underleverantörer, och vad det i praktiken betyder för dig som levererar IT-tjänster, system, utrustning eller andra tjänster till dem. Den riktar sig till VD, IT-chef och ekonomiansvarig som inte är jurister.
Varför NIS2 når leverantörer
NIS2 är EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå (direktiv (EU) 2022/2555). I Sverige har det genomförts genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), som båda trädde i kraft den 15 januari 2026.
Lagen riktar sig till de verksamhetsutövare som omfattas, alltså de som verkar i vissa sektorer och uppfyller kraven på storlek. En viktig del av kraven gäller leveranskedjan: den som omfattas ska hantera de cybersäkerhetsrisker som kommer från de leverantörer den är beroende av.
Det är här kraven når dig. Lagen pekar inte ut leverantörerna som en egen grupp, men den som omfattas måste kunna visa att den har bedömt och hanterat riskerna med sina leverantörer. Det görs i första hand genom upphandling, avtal och uppföljning, och det är dem du som leverantör möter.
Vad lagen säger om leveranskedjan
Cybersäkerhetslagen anger i 2 kap. 3 § att verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska säkerhetsåtgärder. Åtgärderna ska åtminstone avse tio områden, och ett av dem är säkerhet i leveranskedjan. Ett annat är säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem.
Samma krav finns i själva direktivet. Enligt artikel 21.2 d ska åtgärderna omfatta säkerhet i leveranskedjan, inbegripet säkerhetsaspekter som rör förbindelserna mellan entiteten och dess direkta leverantörer eller tjänsteleverantörer. Enligt artikel 21.3 ska entiteten dessutom beakta sårbarheter som är specifika för varje direktleverantör.
Kravet är alltså proportionellt: det som krävs ska stå i rimlig proportion till risken. En leverantör som driver kundens kärnsystem kommer att granskas hårdare än en som levererar kontorsmaterial.
Vad MCF:s föreskrifter kräver av den som köper
Myndigheten för civilt försvar (MCF) har med stöd av cybersäkerhetsförordningen meddelat föreskrifter och allmänna råd om säkerhetsåtgärder, MCFFS 2026:11, som gäller från den 1 oktober 2026. Där finns de mest konkreta kraven på hur kunden ska hantera sina leverantörer (4 kap.). Föreskrifterna gäller väsentliga och viktiga verksamhetsutövare. För verksamhetsutövare som uteslutande bedriver verksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden gäller bara kraven på ledningens utbildning.
Av föreskrifterna framgår bland annat att den som omfattas:
- före ett förvärv eller en utkontraktering ska värdera och omhänderta riskerna,
- ska säkerställa att de krav som ställs på verksamhetsutövaren i föreskrifterna uppfylls av leverantören, utom i de delar där verksamhetsutövaren uppfyller kravet helt själv,
- ska utvärdera om den tilltänkta leverantören kan uppfylla kraven på cybersäkerhet under hela avtalstiden,
- i avtal eller överenskommelse ska säkerställa att lämpliga och proportionella säkerhetsåtgärder kan genomföras och förvaltas över tid,
- ska identifiera och hantera behovet av att komplettera avtal som ingicks före den 1 oktober 2026 med krav på cybersäkerhet,
- ska identifiera och hantera behovet av kontinuitet i sina digitala leveranskedjor och av att leverantören ger relevant information om sina underleverantörer.
De delar som kallas allmänna råd är inte tvingande, men de visar hur MCF tänker sig att kraven ska tillämpas. Där rekommenderas bland annat att man värderar risker som kommer från underleverantörer och, för kritiska system, väljer produkter och tjänster som är certifierade enligt europeiska certifieringsordningar.
Vad kunden kan ta med i avtalet
I de allmänna råden listas vad ett avtal om utkontraktering av informationsbehandling bör reglera. Det är en bra förteckning över vad du som leverantör kan förvänta dig att bli tillfrågad om:
| Område | Vad avtalet bör reglera enligt MCF:s allmänna råd |
|---|---|
| Kontaktvägar | Kontaktuppgifter till en av leverantören utsedd systemägare |
| Kompetens | Vilken cybersäkerhetskompetens leverantören behöver ha |
| Information | När och hur leverantören informerar om misstänkta och inträffade incidenter och tillbud, hot, sårbarheter och förändringar som påverkar säkerhetskraven |
| Underleverantörer | Hur risker från leverantörens underleverantörer hanteras och rapporteras till kunden |
| Kontroll av leverans | Att hård- och mjukvara kontrolleras för skadlig kod och andra brister innan den används |
| Övning | I vilken omfattning leverantören övar incident-, kontinuitets- och krishantering med kunden |
| Uppföljning | Hur leverantören följer upp sin egen och underleverantörernas efterlevnad, och hur kunden följer upp leverantörens |
| Uppsägning | Att avtalet kan sägas upp i förtid om leverantören inte uppfyller kraven |
| Avslut | Hur kundens information återlämnas eller förstörs när avtalet upphör |
Observera att detta är allmänna råd som riktar sig till kunden. Hur kravställningen ser ut i ett enskilt avtal avgör kunden, och den kan gå längre eller vara mindre långtgående.
Så förbereder du dig som leverantör
Du behöver inte vänta på att en kund hör av sig. Så här kan du gå tillväga:
- Ta reda på om du själv omfattas. Gå igenom sektorer och storlekskrav, eller gör självtestet. Se också vilka sektorer som omfattas av NIS2.
- Kartlägg dina kunder. Vilka av dem verkar sannolikt i sektorer som omfattas? Börja med dem vars verksamhet är mest beroende av din leverans.
- Kartlägg dina egna leverantörer. Kunden kommer att fråga hur du hanterar underleverantörer. Ha en lista över vem du är beroende av och vad som händer om en av dem faller bort.
- Dokumentera grundläggande säkerhetsarbete. Riskanalys, incidenthantering, behörighetsstyrning, backup och kontinuitetsplaner. Kunder vill se att det finns, och att det följs upp.
- Bestäm hur du hanterar incidenter mot kunder. Kunden som omfattas har egna frister för rapportering till myndigheten, bland annat 24 timmar för en betydande incident enligt 2 kap. 5 § cybersäkerhetslagen. Ju snabbare du kan informera dem, desto bättre. Läs mer i tidslinjen för NIS2 i Sverige.
- Förbered standardsvar. Samla svar på de frågor som brukar komma i en leverantörsenkät, så att du kan svara snabbt och konsekvent.
- Läs avtalstexterna noga. Kontrollera vad du förbinder dig till: rapporteringstider, revisionsrätt, krav på underleverantörer och ansvar. Fråga om kraven går att anpassa till din storlek och din roll.
- Håll personuppgifterna isär. Om du behandlar personuppgifter åt kunden gäller dessutom personuppgiftsbiträdesavtal enligt GDPR. Se NIS2 och GDPR.
Så ser det ut om du är kunden
Är du själv omfattad av NIS2 gäller motsvarande bild åt andra hållet. Ett praktiskt arbetssätt:
- Förteckna leverantörerna och sortera dem efter hur kritiska de är för verksamheten.
- Bedöm risken före avtal. Värdera leverantörens förmåga att uppfylla kraven under hela avtalstiden.
- Ställ krav i avtalet i proportion till risken, till exempel enligt tabellen ovan.
- Gå igenom äldre avtal. Avtal som tecknades före den 1 oktober 2026 ska du enligt föreskrifterna identifiera och hantera behovet av att komplettera.
- Följ upp löpande, inte bara vid upphandlingen.
- Planera för bortfall. Identifiera hur verksamheten klarar sig om en kritisk leverantör inte kan leverera.
Vanliga frågor
Måste jag som leverantör uppfylla NIS2 om mina kunder gör det? Inte automatiskt. Det är lagens krav på kunden som driver kraven på dig, genom avtal. Omfattas du själv av lagen gäller den för dig oavsett vad kunderna säger.
Kan en kund kräva att jag certifierar mig? Föreskrifterna ställer krav på kunden att identifiera och hantera behovet av att välja certifierade produkter, tjänster och processer enligt europeiska certifieringsordningar. De allmänna råden gäller i första hand sektorskritiska system. Vad som krävs av dig bestäms i det enskilda avtalet.
Räcker det att jag svarar på en enkät? Det beror på kundens riskbedömning. Enligt föreskrifterna ska kunden följa upp efterlevnaden, så en enkät är ofta bara en början.
Gäller samma krav alla verksamhetsutövare? Nej. Vissa sektorer, som nämnts ovan, omfattas endast av kraven på ledningens utbildning i MCFFS 2026:11.
Hur Nisenta kan hjälpa
Om du vill ha struktur på kartläggning, dokumentation och uppföljning kan Nisenta hjälpa dig att samla underlagen på ett ställe. Börja gärna med checklistan för NIS2.
Källor
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.