Tredjepartsrisiko i praksis: Hva bør dere vurdere hos leverandørene?

Dere har sannsynligvis god kontroll på egne systemer og prosesser. Men hvor godt kjenner dere egentlig leverandørenes sikkerhetspraksis?

For de fleste compliance- og sikkerhetsansvarlige er svaret «ikke godt nok». Det er et problem. Risiko i leverandørkjeden er ikke lenger en teoretisk bekymring – det har blitt et høyt prioritert regulatorisk område.

Leverandørkjedesikkerhet har blitt et tydelig regulatorisk krav

NIS2 har gjort leverandørkjedesikkerhet til et tydelig regulatorisk satsingsområde i Europa. Virksomheter som omfattes av direktivet, må vurdere og håndtere sikkerhetsrisiko knyttet til leverandører og tjenesteleverandører.

Selv om den norske gjennomføringen følger en annen tidslinje enn i EU, merker mange norske virksomheter allerede effekten gjennom krav fra europeiske kunder og samarbeidspartnere.

Mange mindre virksomheter møter også kravene indirekte fordi kundene deres må dokumentere egen tredjepartsrisiko. Når banker, kommuner eller energiselskaper skal dokumentere sikkerheten i leverandørkjeden, sender de kravene videre til sine leverandører.

Resultatet? Stadig flere små og mellomstore virksomheter mottar omfattende sikkerhetsspørreskjemaer fra store kunder – ofte uten å ha en etablert prosess for å håndtere dem.

DNVs nordiske undersøkelse av cyberresiliens fra 2026 understreker hvor tett sammenkoblet kritisk infrastruktur har blitt. Virksomheter er avhengige av komplekse nettverk av leverandører, tjenesteleverandører og digitale systemer. Derfor kan en sikkerhetshendelse hos én aktør få konsekvenser gjennom hele leverandørkjeden.

Etabler en fast struktur

Gjør leverandørvurderinger til en fast rutine i stedet for en akutt brannslukking.

→ Last ned veiledningen i risikostyring basert på ISO 27005

Begynn med å prioritere – ikke med å kartlegge alt

Den største feilen innen tredjepartsrisikostyring er å forsøke å vurdere alle leverandører like grundig fra første dag. Det resulterer raskt i tunge regneark med hundrevis av rader, men svært lite reell innsikt.

Begynn i stedet med å identifisere leverandørene som utgjør en reell risiko. Dette gjelder særlig leverandører som:

• har direkte tilgang til nettverkene, systemene eller dataene deres
• støtter virksomhetskritiske prosesser
• behandler personopplysninger på deres vegne
• leverer løsninger eller tjenester som dere tilbyr videre til egne kunder

Når dere har identifisert denne kritiske gruppen, foretar dere en grundig vurdering av dem. De øvrige leverandørene kan gjennomgås i et enklere format. Det gir en bærekraftig prosess som virksomheten faktisk kan opprettholde.

Fire områder dere bør vurdere

En leverandørvurdering handler ikke bare om å samle inn sertifikater og krysse av i bokser. Både NIS2 og god praksis for informasjonssikkerhet peker på fire sentrale områder:

1. Tilgangsstyring: Hvordan administrerer leverandøren tilgangen til dataene deres? Hva skjer når en medarbeider hos leverandøren slutter eller bytter rolle?
2. Hendelseshistorikk: Har leverandøren opplevd sikkerhetshendelser, og hvordan ble de håndtert? En leverandør som har kommunisert åpent og profesjonelt om en hendelse, kan være en tryggere samarbeidspartner enn en som hevder aldri å ha rapportert noe.
3. Kontraktskrav: Kontrakten bør inneholde konkrete tekniske minimumskrav, rett til revisjon og plikt til rask varsling ved hendelser. En generell henvisning til «gjeldende lovgivning» er ikke tilstrekkelig.
4. Underleverandører: Risikoen forsvinner ikke fordi den flyttes ett ledd lenger ut i leverandørkjeden. Spør de kritiske leverandørene hvilke underleverandører de selv er avhengige av.

Gjør vurderingen til en prosess – ikke et prosjekt

En vanlig feil er å behandle leverandørvurderinger som et engangsprosjekt. Risikobildet endrer seg kontinuerlig når nye systemer, underleverandører og trusler kommer til. En vurdering fra i fjor gjenspeiler ikke nødvendigvis leverandørens sikkerhetsnivå i dag.

Bygg i stedet en fast syklus inn i risikostyringen:

• Fastsett en regelmessig frekvens for revurdering av kritiske leverandører.
• Opprett automatiske påminnelser når kontrakter og databehandleravtaler skal fornyes.
• Etabler en tydelig beredskapsplan for hendelser hos leverandørene.

Her blir også risikoen dere overtar fra leverandøren, avgjørende. Deres eget system kan fremstå som lavrisiko på papiret. Men dersom leverandøren bak systemet har en dårlig hendelseshistorikk, overtar dere denne eksponeringen og må reagere deretter.

Slik sikrer dere revisjonsklar dokumentasjon

Enten dere forbereder dere på et NIS2-tilsyn, en ISO 27001-sertifisering eller en kontroll fra en stor kunde, er det avgjørende spørsmålet alltid det samme: «Kan dere dokumentere det?»

Dere må kunne vise når vurderingen fant sted, hvem som gjennomførte den, hva begrunnelsen var, og hvilken konklusjon dere kom frem til.

Hvis dokumentasjonen ligger spredt i e-poster, lokale mapper og regneark, blir forberedelsene raskt en stressende øvelse.

Integrer leverandørrisiko i det samlede risikobildet

Tredjepartsrisiko eksisterer ikke isolert. Den er en integrert del av virksomhetens samlede risikostyring.

Når leverandørvurderingene inngår direkte i risikovurderingen og compliancearbeidet, får dere et mer presist bilde av virksomhetens faktiske sårbarheter. Samtidig unngår dere å finne opp prosessen på nytt hver gang dere tar inn en ny leverandør.

Med NorthGRC samler dere kontrakter, databehandleravtaler, spørreskjemaer og hendelseshistorikk på ett sted. Leverandørenes svar kan oppdatere den samlede risikovurderingen automatisk. På den måten kan dere møte NIS2-kravene til leverandørkjedesikkerhet, samtidig som revisjonsklar dokumentasjon blir en naturlig del av det daglige arbeidet.