NIS2 Leverandørkædesikkerhed
for Webbureauer

Er dit bureau omfattet?

NIS2 klassificerer omfattede organisationer som "vigtige" eller "andre vigtige" baseret på sektor og størrelse. Mange små bureauer falder uden for direkte omfattelse — et 5-personers studie der bygger marketingsites er normalt ikke selv en omfattet enhed.

Men at være uden for omfattelse betyder ikke at leverandørkædens regler ikke rører dig. Tre praktiske grunde til at omfattede klienter alligevel skubber NIS2-krav ned til deres bureauer:

1. Indkøbsspørgeskemaer. Ethvert bureau der betjener mellemstore eller store klienter, offentlige myndigheder eller virksomheder i energi, sundhed, finans, transport eller digital infrastruktur ser allerede sikkerhedsspørgeskemaer der refererer til NIS2. "Beskriv jeres leverandørstyringsproces" er nu et standardfelt.

2. Kontraktklausuler. Omfattede klienter skal styre sikkerheden hos deres egne leverandører — og deres webbureau er en leverandør. Forvent kontraktlige sikkerhedskrav, revisionsrettigheder og incident-meldepligter i nye og fornyede aftaler.

3. Kædeansvar ved hændelser. Når et brud hos et bureau udsætter en omfattet klient, bærer klienten stadig sine egne NIS2-pligter — 24-timers tidlig advarsel, 72-timers notifikation. Bureauer der ikke kan understøtte den tidslinje mister disse klienter.

Din faktiske leverandørkæde

Før du kan styre leverandørrisiko, skal du vide hvad din leverandørkæde faktisk er. De fleste bureauer har aldrig skrevet den ned. Kortlæg den på én eftermiddag:

Vendor assessment

Du behøver ikke et enterprise GRC-system. Et regneark med én række pr. leverandør og fem kolonner dækker artikel 21 for et lille bureau:

1. Hvilke data og adgang har denne leverandør? Klienters persondata? Admin-legitimationsoplysninger? Produktionsservere? Klassificér: kritisk, vigtig, mindre.

2. Hvad er deres sikkerhedsniveau? Har de en trust-page, ISO 27001- eller SOC 2-certificering, en DBA, en brudhistorik? For store udbydere (Cloudflare, AWS, Google) er det et tjek på ti minutter. For en plugin-leverandør til 200 kr/år kan det ærlige svar være "ukendt" — hvilket i sig selv er en risikovurdering.

3. Hvad siger kontrakten? Er der en databehandleraftale (GDPR art. 28), sikkerhedsforpligtelser, brudnotifikationsvilkår og en opsigelsesret? For kritiske leverandører er ingen kontrakt lig med intet styret forhold.

4. Hvad sker der hvis de svigter? Har du en exit-vej — eksporter, alternative udbydere, DNS du kontrollerer? En leverandør du ikke kan forlade, er en leverandør du ikke kan styre.

5. Hvornår blev dette sidst tjekket? Sæt en årlig gennemgangsdato. Et risikoregister der aldrig genbesøges, er teater.

Kontraktklausuler

Vurderingen siger dig hvor du står; kontrakter er hvad der gør risikoen styrbar. Fire klausuler at standardisere i dine egne klient- og leverandøraftaler:

Med dine leverandører (når du har forhandlingsstyrke): brudnotifikation inden for 24-48 timer, dokumenterede sikkerhedsforanstaltninger, underdatabehandler-transparens og sletning af data ved exit. Hos hyperscalere tager du deres standardvilkår — hvilket er fint, og i sig selv værd at dokumentere som en accepteret risiko.

Med dine klienter: definér præcis hvilke systemer du er ansvarlig for at sikre (og hvilke der forbliver klientens), en sikkerhedskontakt- og incident-samarbejdsklausul så du kan understøtte deres 24/72-timers NIS2-tidslinjer, en change management-klausul for overdragelse af legitimationsoplysninger, og en ansvarsbegrænsning der er proportional med et lille bureau — ikke ubegrænset.

Hvis du betjener omfattede klienter, afstem din incident-meldepligt med deres regulatoriske ur. "Vi vil fortælle dig inden for 24 timer efter bekræftet brud" er en klausul der vinder enterprise-arbejde.

Reducer angrebsfladen

Den billigste leverandørrisikobehandling er at have mindre leverandørkæde. Fire træk der kapper reel risiko for et typisk bureau på under en uge:

1. Dræb ubrugt adgang. Gennemgå admin-konti på tværs af hosting, DNS, klient-sites og koderepositorier. Fjern enhver konto der tilhører personer der ikke længere arbejder med dig. Dette er den enkelt højeste timelønsinvestering i bureausikkerhed.

2. Standardisér din stak. Hvert unikt plugin, tema og tjeneste multiplicerer din vurderingsbyrde. En kort tilladelsesliste — "disse er de plugins og udbydere vi bruger" — gør leverandørstyring overskuelig og klient-sikkerhedsgennemgange hurtigere.

3. Hold øje med forladt software. Sæt en regel: ethvert plugin eller dependency uden en release i 12+ måneder udskiftes eller isoleres. Forladte komponenter er den klassiske små-site-brudvektor.

4. Adskil nøglerne. Brug en password manager med per-klient-vaults og MFA overalt det understøttes. Ét fælles regneark med klient-legitimationsoplysninger er en leverandørhændelse der venter på at ske.

Hvad regulatorer forventer

Hvis en tilsynsmyndighed nogensinde spørger — eller en omfattet klient reviderer dig — er forventningen proportional, dokumenteret praksis, ikke perfektion. Dit bevis-mappe bør indeholde:

• Et aktuelt leverandørregister med kritikalitetsvurderinger og gennemgangsdatoer
• Underskrevne DBA'er med enhver leverandør der behandler persondata
• Standardkontraktklausuler (dine og accepterede tredjepartsvilkår)
• En adgangskontrolpolitik: hvem har admin-adgang, hvordan gives og tilbagekaldes det
• En incident-responsplan der inkluderer leverandør-originerede hændelser og understøtter klienters notifikationstidslinjer

Det er seks dokumenter, hvoraf de fleste et lille bureau burde have alligevel for GDPR. NIS2 leverandørkæde-compliance, gjort pragmatisk, er i vid udstrækning det papirarbejde du allerede skyldte under databeskyttelsesreglerne — udvidet til sikkerhed, og faktisk vedligeholdt.

Ofte stillede spørgsmål

Relaterede guides