Kort sagt<\/h2>\n\n- Cybers\u00e4kerhetslagen (2025:1506) tr\u00e4dde i kraft den 15 januari 2026 och kr\u00e4ver att era s\u00e4kerhets\u00e5tg\u00e4rder minst omfattar s\u00e4kerhet i leveranskedjan.<\/li>\n
- Leverant\u00f6rer som inte sj\u00e4lva omfattas av lagen f\u00e5r ofta samma krav genom avtalen med de verksamheter de levererar till.<\/li>\n
- B\u00f6rja med att klassificera leverant\u00f6rerna efter hur kritiska de \u00e4r. F\u00f6rst d\u00e5 kan ni st\u00e4lla krav som \u00e4r rimliga och proportionerliga.<\/li>\n
- Bed\u00f6m, dokumentera, avtala och f\u00f6lj upp. Tillsynen bygger p\u00e5 att ni kan visa underlag, inte bara beskriva en process.<\/li>\n
- Ledningen \u00e4ger fr\u00e5gan. Brister i leverant\u00f6rsstyrningen \u00e4r en ledningsfr\u00e5ga, inte enbart en IT-fr\u00e5ga.<\/li>\n<\/ul>\n
Inneh\u00e5llsf\u00f6rteckning<\/h2>\n\n- Vad cybers\u00e4kerhetslagen kr\u00e4ver av leveranskedjan<\/a><\/li>\n
- G\u00e4ller kraven \u00e4ven underleverant\u00f6rer?<\/a><\/li>\n
- Klassificera leverant\u00f6rerna innan ni st\u00e4ller krav<\/a><\/li>\n
- S\u00e5 bed\u00f6mer ni en leverant\u00f6r i fem steg<\/a><\/li>\n
- Vad leverant\u00f6rsavtalet ska reglera<\/a><\/li>\n
- Uppf\u00f6ljning och hantering av brister<\/a><\/li>\n
- Tillsyn och ledningens ansvar<\/a><\/li>\n
- S\u00e5 ser vi p\u00e5 leverant\u00f6rskedjan<\/a><\/li>\n
- Hj\u00e4lp med leverant\u00f6rsstyrningen enligt NIS2<\/a><\/li>\n
- Vanliga fr\u00e5gor<\/a><\/li>\n
- K\u00e4llor<\/a><\/li>\n<\/ul>\n
Vad cybers\u00e4kerhetslagen kr\u00e4ver av leveranskedjan<\/h2>\n
Cybers\u00e4kerhetslagen (SFS 2025:1506)<\/a> tr\u00e4dde i kraft den 15 januari 2026 och genomf\u00f6r NIS2-direktivet i svensk r\u00e4tt. K\u00e4rnan \u00e4r att verksamhetsut\u00f6vare ska vidta l\u00e4mpliga och proportionella s\u00e4kerhets\u00e5tg\u00e4rder, och att dessa minst ska omfatta s\u00e4kerhet i leveranskedjan.<\/p>\nLeveranskedjan \u00e4r inte en egen \u00f6 i regelverket. NCSC:s v\u00e4gledning om s\u00e4kerhets\u00e5tg\u00e4rder<\/a> r\u00e4knar upp \u00e5tg\u00e4rder f\u00f6r leveranskedjan tillsammans med incidenthantering, s\u00e4kerhet vid f\u00f6rv\u00e4rv och utveckling, kryptografi och personals\u00e4kerhet. I praktiken h\u00e4nger de ihop. N\u00e4r ni k\u00f6per en molntj\u00e4nst handlar det om f\u00f6rv\u00e4rv. N\u00e4r leverant\u00f6ren drabbas av intr\u00e5ng blir det er incidenthantering. N\u00e4r leverant\u00f6rens konsulter f\u00e5r \u00e5tkomst till era system blir det personals\u00e4kerhet.<\/p>\nDet betyder att leverant\u00f6rsstyrningen beh\u00f6ver ing\u00e5 i ert systematiska cybers\u00e4kerhetsarbete och er riskhantering. En separat ink\u00f6psrutin som lever sitt eget liv r\u00e4cker inte. Fr\u00e5gan att besvara \u00e4r: vilka leverant\u00f6rer kan, om n\u00e5got g\u00e5r fel hos dem, sl\u00e5 ut eller allvarligt st\u00f6ra de tj\u00e4nster som g\u00f6r att ni omfattas av lagen?<\/p>\n
F\u00f6r er som redan arbetar enligt ISO 27001 finns mycket av grunden p\u00e5 plats, eftersom standarden har egna krav p\u00e5 leverant\u00f6rsrelationer. Det som ofta saknas \u00e4r kopplingen till de tj\u00e4nster lagen pekar ut, och ett underlag som h\u00e5ller n\u00e4r tillsynsmyndigheten fr\u00e5gar.<\/p>\n
G\u00e4ller kraven \u00e4ven underleverant\u00f6rer?<\/h2>\n
Ja, i praktiken. Lagen riktar sig till de verksamhetsut\u00f6vare som omfattas, men kraven fortplantar sig ned\u00e5t. Upphandlingsmyndigheten<\/a> konstaterar att leverant\u00f6rer som inte omfattas direkt kan beh\u00f6va uppfylla NIS2-krav genom avtalsvillkor n\u00e4r de levererar till verksamheter som omfattas.<\/p>\nF\u00f6r er som k\u00f6pare inneb\u00e4r det tv\u00e5 saker:<\/p>\n
\n- Ni ansvarar f\u00f6r att kraven st\u00e4lls.<\/strong> Det \u00e4r er skyldighet att se till att leveranskedjan \u00e4r s\u00e4ker, inte leverant\u00f6rens skyldighet gentemot myndigheten.<\/li>\n
- Kedjan slutar inte vid f\u00f6rsta ledet.<\/strong> Er driftleverant\u00f6r kan anv\u00e4nda en hostingpartner, som i sin tur anv\u00e4nder en underleverant\u00f6r f\u00f6r backup. Ni beh\u00f6ver veta vilka led som ber\u00f6r era kritiska tj\u00e4nster och kr\u00e4va att er leverant\u00f6r f\u00f6r vidare relevanta krav.<\/li>\n<\/ol>\n
F\u00f6r er som \u00e4r leverant\u00f6r till en omfattad verksamhet g\u00e4ller det omv\u00e4nda: r\u00e4kna med s\u00e4kerhetsfr\u00e5geformul\u00e4r, revisionsr\u00e4tt och krav p\u00e5 incidentrapportering i nya avtal och vid f\u00f6rl\u00e4ngningar. Den som kan visa ordning p\u00e5 sin s\u00e4kerhet blir en enklare leverant\u00f6r att v\u00e4lja.<\/p>\n
Klassificera leverant\u00f6rerna innan ni st\u00e4ller krav<\/h2>\n
Alla leverant\u00f6rer ska inte granskas lika h\u00e5rt. Lagen kr\u00e4ver proportionella \u00e5tg\u00e4rder, och det \u00e4r f\u00f6rst n\u00e4r ni har klassificerat leverant\u00f6rerna som ni kan avg\u00f6ra vilka krav som \u00e4r rimliga och n\u00f6dv\u00e4ndiga. Annars blir kraven antingen f\u00f6r svaga d\u00e4r det spelar roll eller f\u00f6r tunga d\u00e4r det inte g\u00f6r det, och b\u00e5da varianterna \u00e4r sv\u00e5ra att f\u00f6lja upp.<\/p>\n
Bed\u00f6m varje leverant\u00f6r utifr\u00e5n n\u00e5gra f\u00e5 fr\u00e5gor:<\/p>\n
\n- Aff\u00e4rskritikalitet:<\/strong> Stannar en kritisk tj\u00e4nst om leverant\u00f6ren faller bort?<\/li>\n
- System och data:<\/strong> Vilka system och vilken information ber\u00f6rs, och \u00e4r den operationellt kritisk?<\/li>\n
- \u00c5tkomst:<\/strong> Har leverant\u00f6ren fj\u00e4rr\u00e5tkomst, administrat\u00f6rsbeh\u00f6righet eller n\u00e4tverksanslutning till er milj\u00f6?<\/li>\n
- Incidentp\u00e5verkan:<\/strong> Hur stor blir skadan, och hur snabbt, om leverant\u00f6ren drabbas?<\/li>\n
- Underleverant\u00f6rer:<\/strong> Ing\u00e5r fler led i leveransen?<\/li>\n<\/ul>\n
En enkel indelning i tre niv\u00e5er r\u00e4cker f\u00f6r de flesta:<\/p>\n
Inneh\u00e5llsf\u00f6rteckning<\/h2>\n\n- Vad cybers\u00e4kerhetslagen kr\u00e4ver av leveranskedjan<\/a><\/li>\n
- G\u00e4ller kraven \u00e4ven underleverant\u00f6rer?<\/a><\/li>\n
- Klassificera leverant\u00f6rerna innan ni st\u00e4ller krav<\/a><\/li>\n
- S\u00e5 bed\u00f6mer ni en leverant\u00f6r i fem steg<\/a><\/li>\n
- Vad leverant\u00f6rsavtalet ska reglera<\/a><\/li>\n
- Uppf\u00f6ljning och hantering av brister<\/a><\/li>\n
- Tillsyn och ledningens ansvar<\/a><\/li>\n
- S\u00e5 ser vi p\u00e5 leverant\u00f6rskedjan<\/a><\/li>\n
- Hj\u00e4lp med leverant\u00f6rsstyrningen enligt NIS2<\/a><\/li>\n
- Vanliga fr\u00e5gor<\/a><\/li>\n
- K\u00e4llor<\/a><\/li>\n<\/ul>\n
Vad cybers\u00e4kerhetslagen kr\u00e4ver av leveranskedjan<\/h2>\n
Cybers\u00e4kerhetslagen (SFS 2025:1506)<\/a> tr\u00e4dde i kraft den 15 januari 2026 och genomf\u00f6r NIS2-direktivet i svensk r\u00e4tt. K\u00e4rnan \u00e4r att verksamhetsut\u00f6vare ska vidta l\u00e4mpliga och proportionella s\u00e4kerhets\u00e5tg\u00e4rder, och att dessa minst ska omfatta s\u00e4kerhet i leveranskedjan.<\/p>\nLeveranskedjan \u00e4r inte en egen \u00f6 i regelverket. NCSC:s v\u00e4gledning om s\u00e4kerhets\u00e5tg\u00e4rder<\/a> r\u00e4knar upp \u00e5tg\u00e4rder f\u00f6r leveranskedjan tillsammans med incidenthantering, s\u00e4kerhet vid f\u00f6rv\u00e4rv och utveckling, kryptografi och personals\u00e4kerhet. I praktiken h\u00e4nger de ihop. N\u00e4r ni k\u00f6per en molntj\u00e4nst handlar det om f\u00f6rv\u00e4rv. N\u00e4r leverant\u00f6ren drabbas av intr\u00e5ng blir det er incidenthantering. N\u00e4r leverant\u00f6rens konsulter f\u00e5r \u00e5tkomst till era system blir det personals\u00e4kerhet.<\/p>\nDet betyder att leverant\u00f6rsstyrningen beh\u00f6ver ing\u00e5 i ert systematiska cybers\u00e4kerhetsarbete och er riskhantering. En separat ink\u00f6psrutin som lever sitt eget liv r\u00e4cker inte. Fr\u00e5gan att besvara \u00e4r: vilka leverant\u00f6rer kan, om n\u00e5got g\u00e5r fel hos dem, sl\u00e5 ut eller allvarligt st\u00f6ra de tj\u00e4nster som g\u00f6r att ni omfattas av lagen?<\/p>\n
F\u00f6r er som redan arbetar enligt ISO 27001 finns mycket av grunden p\u00e5 plats, eftersom standarden har egna krav p\u00e5 leverant\u00f6rsrelationer. Det som ofta saknas \u00e4r kopplingen till de tj\u00e4nster lagen pekar ut, och ett underlag som h\u00e5ller n\u00e4r tillsynsmyndigheten fr\u00e5gar.<\/p>\n
G\u00e4ller kraven \u00e4ven underleverant\u00f6rer?<\/h2>\n
Ja, i praktiken. Lagen riktar sig till de verksamhetsut\u00f6vare som omfattas, men kraven fortplantar sig ned\u00e5t. Upphandlingsmyndigheten<\/a> konstaterar att leverant\u00f6rer som inte omfattas direkt kan beh\u00f6va uppfylla NIS2-krav genom avtalsvillkor n\u00e4r de levererar till verksamheter som omfattas.<\/p>\nF\u00f6r er som k\u00f6pare inneb\u00e4r det tv\u00e5 saker:<\/p>\n
\n- Ni ansvarar f\u00f6r att kraven st\u00e4lls.<\/strong> Det \u00e4r er skyldighet att se till att leveranskedjan \u00e4r s\u00e4ker, inte leverant\u00f6rens skyldighet gentemot myndigheten.<\/li>\n
- Kedjan slutar inte vid f\u00f6rsta ledet.<\/strong> Er driftleverant\u00f6r kan anv\u00e4nda en hostingpartner, som i sin tur anv\u00e4nder en underleverant\u00f6r f\u00f6r backup. Ni beh\u00f6ver veta vilka led som ber\u00f6r era kritiska tj\u00e4nster och kr\u00e4va att er leverant\u00f6r f\u00f6r vidare relevanta krav.<\/li>\n<\/ol>\n
F\u00f6r er som \u00e4r leverant\u00f6r till en omfattad verksamhet g\u00e4ller det omv\u00e4nda: r\u00e4kna med s\u00e4kerhetsfr\u00e5geformul\u00e4r, revisionsr\u00e4tt och krav p\u00e5 incidentrapportering i nya avtal och vid f\u00f6rl\u00e4ngningar. Den som kan visa ordning p\u00e5 sin s\u00e4kerhet blir en enklare leverant\u00f6r att v\u00e4lja.<\/p>\n
Klassificera leverant\u00f6rerna innan ni st\u00e4ller krav<\/h2>\n
Alla leverant\u00f6rer ska inte granskas lika h\u00e5rt. Lagen kr\u00e4ver proportionella \u00e5tg\u00e4rder, och det \u00e4r f\u00f6rst n\u00e4r ni har klassificerat leverant\u00f6rerna som ni kan avg\u00f6ra vilka krav som \u00e4r rimliga och n\u00f6dv\u00e4ndiga. Annars blir kraven antingen f\u00f6r svaga d\u00e4r det spelar roll eller f\u00f6r tunga d\u00e4r det inte g\u00f6r det, och b\u00e5da varianterna \u00e4r sv\u00e5ra att f\u00f6lja upp.<\/p>\n
Bed\u00f6m varje leverant\u00f6r utifr\u00e5n n\u00e5gra f\u00e5 fr\u00e5gor:<\/p>\n
\n- Aff\u00e4rskritikalitet:<\/strong> Stannar en kritisk tj\u00e4nst om leverant\u00f6ren faller bort?<\/li>\n
- System och data:<\/strong> Vilka system och vilken information ber\u00f6rs, och \u00e4r den operationellt kritisk?<\/li>\n
- \u00c5tkomst:<\/strong> Har leverant\u00f6ren fj\u00e4rr\u00e5tkomst, administrat\u00f6rsbeh\u00f6righet eller n\u00e4tverksanslutning till er milj\u00f6?<\/li>\n
- Incidentp\u00e5verkan:<\/strong> Hur stor blir skadan, och hur snabbt, om leverant\u00f6ren drabbas?<\/li>\n
- Underleverant\u00f6rer:<\/strong> Ing\u00e5r fler led i leveransen?<\/li>\n<\/ul>\n
En enkel indelning i tre niv\u00e5er r\u00e4cker f\u00f6r de flesta:<\/p>\n
Vad cybers\u00e4kerhetslagen kr\u00e4ver av leveranskedjan<\/h2>\n
Cybers\u00e4kerhetslagen (SFS 2025:1506)<\/a> tr\u00e4dde i kraft den 15 januari 2026 och genomf\u00f6r NIS2-direktivet i svensk r\u00e4tt. K\u00e4rnan \u00e4r att verksamhetsut\u00f6vare ska vidta l\u00e4mpliga och proportionella s\u00e4kerhets\u00e5tg\u00e4rder, och att dessa minst ska omfatta s\u00e4kerhet i leveranskedjan.<\/p>\n Leveranskedjan \u00e4r inte en egen \u00f6 i regelverket. NCSC:s v\u00e4gledning om s\u00e4kerhets\u00e5tg\u00e4rder<\/a> r\u00e4knar upp \u00e5tg\u00e4rder f\u00f6r leveranskedjan tillsammans med incidenthantering, s\u00e4kerhet vid f\u00f6rv\u00e4rv och utveckling, kryptografi och personals\u00e4kerhet. I praktiken h\u00e4nger de ihop. N\u00e4r ni k\u00f6per en molntj\u00e4nst handlar det om f\u00f6rv\u00e4rv. N\u00e4r leverant\u00f6ren drabbas av intr\u00e5ng blir det er incidenthantering. N\u00e4r leverant\u00f6rens konsulter f\u00e5r \u00e5tkomst till era system blir det personals\u00e4kerhet.<\/p>\n Det betyder att leverant\u00f6rsstyrningen beh\u00f6ver ing\u00e5 i ert systematiska cybers\u00e4kerhetsarbete och er riskhantering. En separat ink\u00f6psrutin som lever sitt eget liv r\u00e4cker inte. Fr\u00e5gan att besvara \u00e4r: vilka leverant\u00f6rer kan, om n\u00e5got g\u00e5r fel hos dem, sl\u00e5 ut eller allvarligt st\u00f6ra de tj\u00e4nster som g\u00f6r att ni omfattas av lagen?<\/p>\n F\u00f6r er som redan arbetar enligt ISO 27001 finns mycket av grunden p\u00e5 plats, eftersom standarden har egna krav p\u00e5 leverant\u00f6rsrelationer. Det som ofta saknas \u00e4r kopplingen till de tj\u00e4nster lagen pekar ut, och ett underlag som h\u00e5ller n\u00e4r tillsynsmyndigheten fr\u00e5gar.<\/p>\n Ja, i praktiken. Lagen riktar sig till de verksamhetsut\u00f6vare som omfattas, men kraven fortplantar sig ned\u00e5t. Upphandlingsmyndigheten<\/a> konstaterar att leverant\u00f6rer som inte omfattas direkt kan beh\u00f6va uppfylla NIS2-krav genom avtalsvillkor n\u00e4r de levererar till verksamheter som omfattas.<\/p>\n F\u00f6r er som k\u00f6pare inneb\u00e4r det tv\u00e5 saker:<\/p>\n F\u00f6r er som \u00e4r leverant\u00f6r till en omfattad verksamhet g\u00e4ller det omv\u00e4nda: r\u00e4kna med s\u00e4kerhetsfr\u00e5geformul\u00e4r, revisionsr\u00e4tt och krav p\u00e5 incidentrapportering i nya avtal och vid f\u00f6rl\u00e4ngningar. Den som kan visa ordning p\u00e5 sin s\u00e4kerhet blir en enklare leverant\u00f6r att v\u00e4lja.<\/p>\n Alla leverant\u00f6rer ska inte granskas lika h\u00e5rt. Lagen kr\u00e4ver proportionella \u00e5tg\u00e4rder, och det \u00e4r f\u00f6rst n\u00e4r ni har klassificerat leverant\u00f6rerna som ni kan avg\u00f6ra vilka krav som \u00e4r rimliga och n\u00f6dv\u00e4ndiga. Annars blir kraven antingen f\u00f6r svaga d\u00e4r det spelar roll eller f\u00f6r tunga d\u00e4r det inte g\u00f6r det, och b\u00e5da varianterna \u00e4r sv\u00e5ra att f\u00f6lja upp.<\/p>\n Bed\u00f6m varje leverant\u00f6r utifr\u00e5n n\u00e5gra f\u00e5 fr\u00e5gor:<\/p>\n En enkel indelning i tre niv\u00e5er r\u00e4cker f\u00f6r de flesta:<\/p>\nG\u00e4ller kraven \u00e4ven underleverant\u00f6rer?<\/h2>\n
\n
Klassificera leverant\u00f6rerna innan ni st\u00e4ller krav<\/h2>\n
\n
![\"Fem](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1794313887682_Fem-steg-i-en-leverantorsbedomning.jpeg\")
<\/p>\n![\"Evertrust\"](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\")
<\/p>\n