Säkerhet i leverantörskedjan innebär att skydda er information och drift mot hot som kommer via leverantörer och underleverantörer. Ställ krav på åtkomst och incidenthantering, kontrollera underlagen och följ upp att brister åtgärdas.
Här får ni fyra åtgärder för säkerhetsarbetet. Behöver ni först identifiera leverantörer, beroenden och risknivåer? Börja med att kartlägga leverantörsriskerna.
Vad är säkerhet i leverantörskedjan?
Säkerhet i leverantörskedjan innebär att skydda er verksamhet mot hot som kommer in via externa parter — inte bara mot angrepp riktade direkt mot era egna system. En leverantör med svag informationssäkerhet blir en väg in till er data, och den vägen syns sällan i den egna sårbarhetsskanningen.
Det är därför både NIS2 och ISO 27001 behandlar leverantörer som en egen riskkategori. Ni ansvarar för säkerheten i kedjan, även när arbetet utförs av någon annan.
Vanliga risker i leverantörskedjor
En extern part kan få åtkomst till kunddata, administrera era system eller driva en tjänst som verksamheten behöver. Säkerhetskraven behöver följa den åtkomsten och det beroendet.
| Säkerhetsrisk | Kontroll att följa upp | Underlag att begära |
|---|---|---|
| Obehörig åtkomst via leverantörskonto | Begränsade behörigheter och avslut av åtkomst | Behörighetslista och rutin för avslutade uppdrag |
| Informationsläckage hos leverantören | Skydd av information och begränsad spridning | Beskrivning av datalagring, åtkomst och relevanta underleverantörer |
| Avbrott i en kritisk tjänst | Återställning och kontinuitet | Resultat från återläsningstest och plan för avbrott |
| Sen information om en incident | Kontaktvägar och avtalad rapportering | Incidentrutin med kontaktpersoner och tidsfrister |
För ekonomiska, operativa och geografiska risker finns den bredare genomgången av leverantörsrisker och kartläggning. När riskerna är prioriterade kan ni välja skydd och bestämma vad som ska verifieras.
Hur kan du minska riskerna i leverantörskedjan?
Effektiv leverantörskedjehantering kräver tydligt ansvar, aktuella underlag och rutiner för att agera när något förändras. Grunden är leverantörshantering som faktiskt följs upp — inte en lista som uppdaterades senast vid upphandlingen.
Här är fyra strategier för att minimera riskerna:
1. Bygg starka relationer med dina leverantörer
Svaga relationer med leverantörer leder ofta till missförstånd, försenade leveranser och kvalitetsproblem. Dessa brister eskalerar snabbt: en försenad leverans hos er underleverantör blir en försenad leverans till er kund.
Regelbunden kommunikation och nära samarbete gör det möjligt att identifiera problem tidigt och hitta lösningar innan de blir kostsamma.
Gör kommunikationen konkret för era viktigaste leverantörer. Bestäm vem ni kontaktar vid ett driftstopp, hur ni får veta att en kritisk underleverantör byts och vem hos er som tar emot informationen. Vid uppföljningen, gå igenom öppna brister och be om underlag som visar vad som har åtgärdats. En god relation gör det lättare att få svar, men ersätter inte en dokumenterad granskning.
Transparens i leveranskedjan är själva förutsättningen: vet ni inte vilka underleverantörer er leverantör själv anlitar, kan ni inte bedöma er egen risk. Kräv därför insyn i deras underleverantörer redan i avtalet — i efterhand är det en förhandling, inte ett krav.
2. Använd smart teknik för översikt och kontroll
Ett kalkylblad kan fungera om uppgifterna hålls aktuella och någon ansvarar för uppföljningen. Börja med att kontrollera om ni kan hitta underlagen för en kritisk leverantör: vad ni köper, vilka beroenden som finns och vilka brister som fortfarande är öppna.
Ett leverantörsregister samlar underlagen för bedömning och uppföljning: enkätsvar, certifikat, godkännanden och öppna avvikelser. Ni behöver granska svaren och följa upp brister med leverantören.
I ChainSecs leverantörshantering kan ni skicka leverantörsenkäter för NIS2 och ISO 27001, granska svar med logg och samla certifikat med giltighetstid. Omvärderingsintervallet sätts manuellt per leverantör. För GRC-arbetet kan ni komplettera med Risk och krav.
3. Utbilda och träna din personal
Personalens kompetens är avgörande för att hantera leverantörskedjan effektivt. Genom regelbunden utbildning och träning i riskhantering och säkerhetsprotokoll kan många problem förebyggas.
Anpassa träningen till de beslut personalen faktiskt tar. Inköp behöver veta när en ny leverantör ska granskas, IT när åtkomst ska begränsas och ekonomi hur ändrade betalningsuppgifter verifieras. Öva exempelvis på ett mejl där leverantören begär ett akut kontobyte. Vet mottagaren vem som ska kontaktas och var en avvikelse dokumenteras? Ett byte av kontaktperson är i sig inget bevis på bedrägeri, men visar varför verifiering via en känd kontakt behövs.
4. Utveckla en leverantörspolicy
En leverantörspolicy beskriver hur ni väljer, godkänner och följer upp leverantörer. Koppla den till de lag- och avtalskrav som gäller er verksamhet; själva policyn bevisar inte att kraven följs. En bra policy bör innehålla:
- Informationssäkerhet och dataskydd: Ställ specifika krav på hur leverantörer ska skydda känslig information och personuppgifter, inklusive krav på kryptering, åtkomstkontroll och incidentrapportering enligt GDPR.
- Hantering av förseningar: Beskriv hur leveransförseningar ska hanteras och vilka åtgärder som ska vidtas för att minimera påverkan på verksamheten.
- Regelbundna riskbedömningar: Sätt och dokumentera ett omvärderingsintervall per leverantör utifrån risk och verksamhetspåverkan; läs mer om hur ofta leverantörer ska utvärderas.
Policyn bör kräva en leverantörsbedömning innan ni skriver avtal med en ny leverantör; för AI-tjänster finns en egen checklista för att bedöma AI-leverantörer. Bedöm sedan era befintliga leverantörer på nytt enligt er plan. I ChainSec kan ni skicka enkäter, granska svar med logg och spara om leverantören är godkänd.
Beskriv också hur ni hanterar ett undantag. Om en leverantör behöver anlitas trots en öppen brist, dokumentera vad bristen innebär, vem som får godkänna beslutet och vilka villkor som gäller. Utse en ansvarig för att följa upp villkoren. Annars riskerar ett tillfälligt godkännande att leva kvar när ingen minns varför det gavs.
För personuppgiftsbiträden anger IMY:s vägledning om GDPR artikel 28 vilka skyldigheter som ska regleras i avtalet.
Vanliga frågor
Vad är säkerhet i leverantörskedjan?
Säkerhet i leverantörskedjan innebär att skydda information och drift mot hot som kommer via leverantörer och underleverantörer. Det omfattar säkerhetskrav, kontroll av underlag och uppföljning av brister.
Hur minskar vi säkerhetsrisker i leverantörskedjan?
Identifiera vilka leverantörer som kan påverka er information och drift, ställ säkerhetskrav i avtalen, granska deras underlag och följ upp avvikelser med en ansvarig och ett slutdatum.
Vilka säkerhetsunderlag bör vi begära från en leverantör?
Utgå från tjänstens risker. Begär relevanta beskrivningar av åtkomstkontroll, informationsskydd, incidenthantering och kontinuitet. För kritiska beroenden kan ni behöva testresultat eller en fördjupad granskning.
Hur följer vi upp en säkerhetsbrist hos en leverantör?
Beskriv bristen, ange vilket krav den berör och utse en ansvarig för uppföljningen. Kom överens om åtgärd och slutdatum och begär underlag som visar resultatet innan ni stänger ärendet.
