Stöd för NIS2 när ni granskar leverantörer
Sedan den 15 januari 2026 gäller Cybersäkerhetslagen, som för in EU:s NIS2-direktiv i svensk lag. Säkerheten i leverantörskedjan är en av de åtgärder som lagen uttryckligen nämner. Plattformen hjälper er att granska leverantörerna, fatta beslut och visa vad ni har gjort.
- Mallar för NIS2, DORA och ISO 27001
- Logg över vem som gjort vad
- Sanktionskontroll i en installation som bara är er
- Rådgivare som kan NIS2
Det här betyder lagen
Lagen i tre punkter. Vilka krav som gäller just er beror bland annat på vilken sektor ni verkar i och hur stor verksamheten är.
Ledningen har ansvaret
Cybersäkerhetslagen (2025:1506) gäller sedan 15 januari 2026 för verksamheter i de sektorer som lagen räknar upp. Ledningen har ett tydligt ansvar för att säkerhetsarbetet blir gjort.
Åtgärder efter era egna risker
Ni ska skydda verksamheten med tekniska och organisatoriska åtgärder som passar era risker. Säkerheten i leverantörskedjan, bland annat hur ni hanterar era direkta leverantörer, nämns uttryckligen.
Kunna visa vad ni har gjort
Tillsynsmyndigheten kan begära uppgifter och handlingar som visar hur ni arbetar med säkerheten. Då hjälper det att kunna visa vem som bedömt vad och vilka beslut som fattats. Lagen ställer också krav på hur incidenter hanteras och rapporteras, och där kan våra rådgivare hjälpa er.
Fem områden där plattformen hjälper er
Lagen säger vad ni ska uppnå, inte vilket verktyg ni ska använda. Här är fem områden där plattformen gör arbetet enklare att genomföra och att visa upp.
-
1
Bedömningar och kontroller av leverantörerna
Skicka Solveres färdiga frågeformulär till leverantörerna. Frågorna är märkta med de ramverk de hör till, till exempel NIS2 och DORA. Leverantören svarar och laddar upp sina underlag i en egen portal. Med Risk Score kontrolleras leverantören också mot sanktionslistor och företagsregister.
-
2
Riskpoäng för leverantörer och ett register för era egna risker
Varje leverantör får en riskpoäng, Risk Score, från 0 till 100. Ju högre poäng, desto högre risk. Poängen bygger på sex områden: cyberexponering, registerstatus, sanktioner, landrisk, negativ publicitet och svaren i bedömningarna. Ni bestämmer hur mycket varje område väger, och sanktionskontrollen görs om varje natt. För era egna risker finns modulen Riskhantering, där ni bedömer risker, beslutar om åtgärder och följer upp dem.
-
3
Logg över vem som gjort vad, och signerade beslut
Revisionsloggen visar vem som gjort vad, med vanliga ord på svenska och engelska. Beslut och godkända bedömningar kan sparas som PDF och signeras av er, och av leverantören om ni vill. Dokumentet förseglas sedan med en digital stämpel. Ni kan välja BankID per dokument, och den som har fått dokumentet kan kontrollera att det är äkta utan att logga in.
-
4
Rätt åtkomst för varje jobb
Ge varje person den åtkomst jobbet kräver, med färdiga grupper för vanliga jobb. Ett nytt konto har ingen behörighet förrän det får en grupp eller roll. Åtkomst kan ges till ett visst datum, och personalen kan logga in med Microsoft Entra ID.
-
5
Rapporter, mallar och avtal
Rapporterna om cyberexponering visar vad en angripare kan se utifrån av de domäner ni bevakar. De sparas som PDF, och äldre versioner finns kvar. Frågeformulären kan exporteras till Word. Signerade avtal och godkända bedömningar kan få en giltighetstid med påminnelser. Med modulen Avtal och licenser skapas avtalen från mallar, granskas tillsammans med leverantören och bevakas inför förnyelse. Riskpoäng, status för bedömningar, resultat från cyberkontrollen och rapporter kan också hämtas till ert affärssystem.
Cyberexponering Avtal och licenser Koppling till affärssystem
En bedömning, flera ramverk
DORA är EU:s regler för banker, försäkringsbolag och andra finansiella företag, med krav på hur de hanterar IT-risker och IT-leverantörer. Solveres mallar är kopplade till DORA och fler ramverk, så att en bedömning kan användas för flera krav.
- NIS2EU:s direktiv om cybersäkerhet, i Sverige infört genom Cybersäkerhetslagen
- DORAEU:s regler för digital motståndskraft i finanssektorn
- ISO 27001 och ISO 27002Internationella standarder för att styra informationssäkerhet, med tillhörande åtgärder
- NIST 800-171Amerikanska krav på skydd av känslig information hos myndigheternas leverantörer
- CMMC nivå 1 och 2Krav på leverantörer till USA:s försvar
- CIS IG1 och IG2Grundläggande säkerhetsåtgärder i prioriterad ordning, steg 1 och 2
- SOC 2Amerikanskt ramverk för granskning av hur tjänsteleverantörer skyddar data
- UK Cyber EssentialsBrittiska grundkrav för cybersäkerhet
- Def Stan 05-138Brittiska försvarets krav på leverantörernas cybersäkerhet
Mallarna finns i fyra nivåer, från en grundnivå till en fördjupad granskning, så att ni kan välja efter hur viktig leverantören är. De kan exporteras till Word och ingår i modulen Organisationsbedömning.
Hjälp med hela NIS2-arbetet
Solvere Group hjälper också till med NIS2-arbetet: kartläggning av vad som saknas, styrning, incidenthantering och leverantörskedjan. Plattformen och rådgivningen kan användas tillsammans eller var för sig.
Konsultcase: NIS2-efterlevnad
Vi kartlade en internationell industrikoncern mot NIS2, EU:s kompletterande regler för NIS2 och säkerhetsskyddslagen. Sedan tog vi fram en plan i etapper över fem år. Riskhantering i leverantörskedjan är en av delarna.
Rådgivning om cybersäkerhet och regelverk
Stöd med NIS2, ISO 27000-serien, NIST 800-171, CMMC och UK Cyber Essentials, anpassat efter er verksamhet.