NIS2 2026 – leverantörscyberintyg, avvikelse & omtest | Word/PDF/Excel

Din viktiga systemleverantör säger att säkerheten är god – men kan inte visa ett aktuellt test av administratörskonton, säkerhetsuppdateringar eller återställning. Hur dokumenterar ni avvikelsen, ställer rimliga krav, får verkligt omtest och redovisar risken för ansvarig ledning? Detta NIS2-specialistpaket innehåller mallar för riskbaserad leverantörscyberkontroll – från faktabaserad egenförsäkran till åtgärdsbrev, omtest och beslut.

Rättsligt aktuellt: Den svenska cybersäkerhetslagen (2025:1506) trädde i kraft 15 januari 2026. I 2 kap. 3 § 4 anges säkerhet i leveranskedjan som ett av områdena för lämpliga och proportionerliga säkerhetsåtgärder hos verksamhetsutövare som omfattas av lagen. Enligt NIS2-direktivets artikel 21.2 d och 21.3 ska riskerna i relationen till direkta leverantörer och tjänsteleverantörer bedömas, bland annat deras specifika sårbarheter och cybersäkerhetspraxis. MCFFS 2026:11 gäller från 1 oktober 2026 och preciserar säkerhetsåtgärder för berörda verksamhetsutövare. Se cybersäkerhetslagen och NCSC:s gällande föreskrift.

Viktig avgränsning: Inte alla svenska verksamheter eller deras leverantörer omfattas automatiskt av cybersäkerhetslagen. Den berörda verksamhetsutövaren måste först bedöma sin egen rättsliga omfattning och de konkreta leverantörsriskerna. Det finns inget generellt obligatoriskt, myndighetsutfärdat ”NIS2-leverantörsintyg” och inga universella 14- eller 30-dagarsfrister för vanliga privata åtgärdsbrev. Ett ifyllt formulär certifierar inte cybersäkerhet och ersätter inte ett tekniskt test.

Komplett digital ZIP för 79 kr: fem svenska arbetsmallar samt en svensk och en engelsk användarguide – samtliga i redigerbar Word (DOCX) och sökbar utskrivbar A4-PDF. Dessutom en Excelarbetsbok (XLSX) med nio flikar, 612 administrativa formler och 36 godkända scenariotester. Totalt 7 DOCX + 7 PDF + 1 XLSX = 15 kundfiler. Fem svenska arbetsdokument, två guider, sju självständiga dokument; PDF-kopiorna är inte interaktivt ifyllningsbara.

För vem passar NIS2:s leverantörskontroll?

Verksamheter som har prövat att de omfattas av cybersäkerhetslagen – exempelvis vissa aktörer inom energi, transport, livsmedel, digital infrastruktur och relevanta samhällsviktiga sektorer – och som anlitar IT-drift, SaaS, moln, systemutvecklare, säkerhetstjänster eller andra leverantörer som kan påverka nätverks- och informationssystem. Målgrupper är särskilt CISO, IT-säkerhetsansvariga, inköp, compliance, risk- och verksamhetsägare, internrevision och upphandlingsansvariga.

Det kan också användas av en leverantör som behöver förbereda ett konkret underlag till en NIS2-reglerad kund, men leverantören ska inte påstå att kunden eller leverantören automatiskt blivit certifierad. Själva avtalet och eventuella särskilda sektorsregler måste kontrolleras.

Exakt filförteckning – 15 kundfiler

Excel – nio flikar och 36 verifierade funktionstester

Arbetsboken innehåller Läs mig, Översikt, Leverantörer, Intyg, Kontroller, Avvikelser, Omtest, Beslut och Källor. Varje ärende länkas med ett unikt internt ID och faktiska bevisreferenser. Registret är nollställt vid leverans och innehåller inga kunduppgifter eller demonstrationsärenden.

De 612 formlerna kan ge administrativa signaler som ”PRÖVA LEVERANTÖRSLED”, ”PRÖVA TILLÄMPLIGHET”, ”VERIFIERA KÄLLBEVIS”, ”PROVNING SAKNAS”, ”SÄKERHETSBRIST”, ”KLARGÖR AVTAL”, ”BESTÄM FRIST MANUELLT”, ”DOKUMENTERA UTSKICK”, ”KVARSTÅENDE FEL” och ”ESKALERA HÖG RISK”. Vid fullständiga inmatningar visas i stället ett underlag för manuell prövning, aldrig ”NIS2-godkänd”.

36 av 36 tekniska scenariotester passerade efter att fel i översiktens antalshantering rättades. Ett test verifierar särskilt att hög risk inte kan markeras som automatiskt avslutad ens när alla beslut- och attestfält är ifyllda och användaren vill stänga ärendet. Kundens 12 översiktsvärden är 0 innan den första verkliga leverantören registreras.

Praktisk arbetsgång för en leverantör med säkerhetsbrist

1. Bedöm omfattningen. Är din verksamhet väsentlig eller viktig enligt cybersäkerhetslagen? Dokumentera beslut, bransch och källa i blankett 01.
2. Avgränsa den relevanta tjänsten. Identifiera direkt avtalspart, vilka system leverantören når, berörda data och konsekvenserna av ett cyberavbrott.
3. Begär proportionerlig säkerhetsbevisning. Fråga efter faktisk version och prov för MFA, privilegierad åtkomst, sårbarhetsrutiner, backup eller incidentväg beroende på identifierad risk.
4. Värdera ett eventuellt intyg. Ett undertecknat ja-svar, ISO-påstående eller leverantörspolicy är inte samma sak som verifierat test av det aktuella systemet.
5. Skicka konkret åtgärdskrav. Ange vilket avtal och vilket sakligt kontrollresultat kravet grundas på. Bestäm realistisk frist enligt avtalet; hitta inte på en universell lagstadgad svarstid.
6. Gör omtest och bevara beviskedja. Kontrollera faktiska konfigurationer, utförd åtgärd, datum och kvarstående risker. Dela inte hemliga nycklar eller lösenord i öppna kalkylark.
7. Besluta separat. Behörig riskägare tar ställning till fortsatt drift, kompensatoriska skydd, eskalering, avtalsändring eller exit – utan automatiskt positivt beslut från Excel.

Rättslig grund – vad reglerna faktiskt innebär

Cybersäkerhetslag (2025:1506), 2 kap. 3 §: tekniska, organisatoriska och driftsrelaterade säkerhetsåtgärder ska vara lämpliga, proportionella och riskbaserade. Punkt 4 handlar om säkerhet i leveranskedjan och punkt 6 om att bedöma säkerhetsåtgärdernas effektivitet. Läs fulltext hos riksdagen.

NIS2-direktivet artikel 21.2 d och 21.3: leverantörsspecifika sårbarheter och kvaliteten i direkta leverantörers säkerhetsarbete, inklusive säker utveckling, behöver beaktas. Det är en grund för en riskbaserad kontroll – inte en lagstadgad universalblankett för alla leverantörer. EU:s officiella direktiv.

MCFFS 2026:11: föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare gäller sedan 1 oktober 2026. Verifiera även relevant specialregelverk för den egna sektorn. Officiell NCSC-källa.

Ansvarsgräns: att en leverantör intygar vissa kontroller befriar inte kunden från att själv bedöma om den egna säkerheten är tillräcklig. Förutom NIS2 kan exempelvis GDPR, branschföreskrifter, avtal eller sektorsspecifika EU-regler innebära andra skyldigheter. Detta paket är inte en incidentanmälan, en myndighetsblankett, en penetrationstesttjänst eller ett sanktioneringsbeslut.

Skillnad mot Mallbutikens andra produkter

NIS2 Mallpaket – Cybersäkerhetslagen 2026 är ett bredare material för den egna organisationens cybersäkerhetsstyrning. Leverantörsrevision & Leverantörsaudit är en generell leverantörs-/kvalitetskontroll. DORA IKT-leverantörsavtal har finansiell DORA-tillämpning. Den här nya produkten fokuserar specifikt på NIS2-relevant cybersäkerhetsbevisning, skriftligt åtgärdskrav och verifierat omtest hos en bestämd leverantör.

Vanliga frågor om NIS2 leverantörscyberintyg

Måste alla leverantörer skriva under ett NIS2-intyg?

Nej. Det finns inget universellt officiellt leverantörsintyg som alla leverantörer måste fylla i. Företaget väljer lämpliga och proportionerliga kontrollåtgärder utifrån faktisk risk och tillämpliga avtal.

Är en liten SaaS-leverantör automatiskt NIS2-pliktig om kunden omfattas?

Nej. Leverantörens egna skyldigheter ska prövas separat. En NIS2-reglerad kund kan ändå behöva ställa avtalsbaserade och riskstyrda säkerhetskrav.

Kan mallen användas som ISO 27001-certifikat?

Nej. En leverantörs egenförsäkran, eller ett ifyllt frågeformulär, är inte en ISO 27001-certifiering, en oberoende revision eller en formell myndighetsbedömning.

Vad händer när leverantören säger att en avvikelse är rättad?

Dokumentera leverantörens uppgift och kontrollera faktiskt bevis och omtest mot rätt system/version. Kvarstående fel markeras och kräver separat ställningstagande.

Måste leverantören svara på åtgärdskravet inom 30 dagar?

Nej. Cybersäkerhetslagens allmänna leverantörskrav anger inte en sådan universell frist för privata åtgärdsbrev. Utgå från avtal, faktiskt säkerhetsläge och en rimlig tidsplan.

Kan Excel automatiskt godkänna leverantörens säkerhet?

Nej. Formlerna identifierar administrativt kontrollbehov och kan aldrig visa ”juridiskt godkänd” eller ”certifierad”. En faktisk teknisk och juridisk prövning krävs.

Ingår incidentrapportering till myndighet?

Nej. Om en betydande cyberincident har inträffat måste lagens incidentregler och föreskrifter bedömas separat. Detta paket avser leverantörskontroll, inte officiell incidentrapportering.

Är alla mallar på engelska?

Nej. Fem arbetsmallar, svensk guide och Excel är på svenska. En English User Guide ingår för användningen men är ingen fullständig översättning av de fem huvudmallarna.

Är PDF-filerna digitalt ifyllningsbara?

Nej. PDF-filerna är sökbara och utskrivbara A4-versioner. Redigera Wordfilerna när du fyller i egna uppgifter.

Officiella rättskällor och transparens

Källor: Cybersäkerhetslag 2025:1506; Cybersäkerhetsförordning 2025:1507; NIS2 direktiv 2022/2555; MCFFS 2026:11; NCSC:s vägledning om säkerhetsåtgärder.

Version 1.0. AI-assisterad rättskällekontroll och teknisk fil-QA 9 november 2026. Ingen extern jurist, myndighet, certifierare eller teknisk revisor har godkänt materialet. PDF-text och alla 14 A4-sidor är kontrollerade, Excel innehåller 612 formler och 36/36 scenariotester är godkända, och ZIP är integritetskontrollerad. Använd mallarna som underlag för faktiska, separata beslut om tillämplighet, säkerhet, avtal och risk.