Leverantörs-onboarding enligt NIS2: vad kräver 30 § BSIG för leveranskedjan?

BSI-lagen i den lydelse som följer av lagen om genomförande av NIS2-direktivet (tyska författningssamlingen, BGBl. 2025 I nr 301) skiljer mellan väsentliga och viktiga entiteter (28 § BSIG). Avgörande är typen av entitet enligt bilagorna 1 och 2 – till exempel energi, transport, finans, post- och budtjänster eller tillverkning – och storleken.

En entitet enligt bilaga 1 är väsentlig från 250 anställda, eller från en årsomsättning på mer än 50 miljoner euro i kombination med en balansomslutning på mer än 43 miljoner euro. En entitet enligt bilaga 1 eller 2 är viktig från 50 anställda, eller från en omsättning och en balansomslutning på vardera mer än 10 miljoner euro. Vissa entiteter, till exempel operatörer av kritiska anläggningar, omfattas oberoende av sin storlek.

Leverantörer behöver inte själva omfattas av lagen för att märka följderna: deras kunder måste kunna visa att leveransförhållandet är säkert och för därför kraven vidare till dem.

I 30 § andra stycket räknas tio åtgärder upp som riskhanteringen minst ska omfatta. Punkt 4 nämner säkerheten i leveranskedjan, inklusive säkerhetsrelaterade aspekter av förbindelserna med direkta leverantörer eller tjänsteleverantörer. Punkt 5 lägger till säkerhet vid förvärv, utveckling och underhåll, inklusive hantering och offentliggörande av sårbarheter.

Direktiv (EU) 2022/2555 är mer konkret på denna punkt: enligt artikel 21.3 ska entiteterna beakta de sårbarheter som är specifika för varje direkt leverantör samt den övergripande kvaliteten på leverantörernas produkter och cybersäkerhetspraxis. Den punkten återges inte ordagrant i den tyska lagtexten; lagmotiven (Bundestag-Drucksache 21/1501) tar upp den i kommentaren till 30 §.

Lagen föreskriver inget fast frågeformulär. Fyra steg har visat sig fungera: klassificera leverantörer efter kritikalitet (vilka data, system och processer berör de?), fastställa minimikrav per klass, kontrollera efterlevnaden mot underlag och arkivera resultatet så att det kan visas upp vid en revision.

Typiska krav gäller åtkomstskydd som flerfaktorsautentisering, kryptering, sårbarhets- och patchhantering, krisberedskap, rapporteringsvägar för säkerhetsincidenter och certifieringar som ISO/IEC 27001. Om leverantören behandlar personuppgifter för kundens räkning tillkommer avtalet enligt artikel 28 i GDPR.

Granskningen är ingen engångsåtgärd: certifikat löper ut, underleverantörer byts, kraven förändras. Återkommande kontroller är därför en del av riskhanteringen.

Berörda entiteter måste enligt 33 § BSIG registrera sig hos BSI senast tre månader efter att de för första gången räknas som entitet. För entiteter som omfattades redan när lagen trädde i kraft har denna frist enligt BSI löpt ut; de måste registrera sig utan dröjsmål.

Ledningen måste genomföra riskhanteringsåtgärderna och övervaka genomförandet (38 § första stycket BSIG) samt regelbundet delta i utbildning (38 § tredje stycket BSIG).

Överträdelser av 30 § kan enligt 65 § BSIG leda till sanktionsavgifter på upp till 10 miljoner euro för väsentliga och upp till 7 miljoner euro för viktiga entiteter. Vid en global årsomsättning på mer än 500 miljoner euro ligger taket på 2 respektive 1,4 procent av denna omsättning.

Vendo4u återger inte kraven som ett frågeformulär per kund, utan som en gemensam katalog: leverantörer lägger in sina uppgifter om informationssäkerhet, dataskydd och verksamhetskontinuitet en gång och styrker dem med dokument vid respektive kriterium. Inköpare filtrerar efter sina minimikrav, jämför leverantörer och exporterar profilen med underlag för den egna dokumentationen.

Skyldigheten att göra bedömningen ligger kvar hos entiteten. Vendo4u ger ett enhetligt och spårbart underlag för den.