Vad kräver cybersäkerhetslagen om leverantörssäkerhet?

Lagens 2 kap. 3 § p. 4 anger säkerhet i leveranskedjan som ett av de områden säkerhetsåtgärderna åtminstone ska avse, men beskriver inte hur. Det preciseras i MCFFS 2026:11 4 kap. 1–4 §§, som gäller från 2026-10-01 för de verksamheter som omfattas av föreskriftens krav: risker ska värderas och omhändertas före förvärv och utkontraktering, leverantören ska uppfylla de krav föreskriften ställer på er, den tilltänkta leverantörens förmåga att klara kraven under hela avtalstiden ska utvärderas, och avtalet ska göra att säkerhetsåtgärderna kan genomföras och förvaltas över tid. Behovet av kontinuitet i de digitala leveranskedjorna och av information om leverantörens underleverantörer ska identifieras och hanteras.

Måste vi gå igenom avtal vi redan tecknat?

I praktiken ja, om ni omfattas av föreskriftens 4 kap. Enligt MCFFS 2026:11 4 kap. 1 §, som gäller från den 1 oktober 2026, ska ni identifiera och hantera behovet av att, om möjligt, komplettera avtal och överenskommelser som har ingåtts före den 1 oktober 2026 med krav på cybersäkerhet. Det betyder att de avtal ni redan har om system och om tjänster där någon annan hanterar er information behöver gås igenom, för att se vilka som behöver och går att komplettera med krav på cybersäkerhet. Risker med avtal och överenskommelser om förvärv och utkontraktering som innehåller otillräckliga krav på cybersäkerhet ska omhändertas.

Kan vi avtala bort ansvaret till leverantören?

Nej. Arbetet och delar av den ekonomiska risken går att lägga över genom avtal, men skyldigheten enligt lagen ligger kvar hos er. Tillsynsmyndigheten vänder sig till verksamhetsutövaren, inte till leverantören.

Måste vi granska alla leverantörer lika noggrant?

Nej, och det vore ohållbart. Vi arbetar med fyra risknivåer och ett differentierat frågebatteri, så att djupet följer vad leverantören har åtkomst till och hur beroende ni är. Alla möter en basuppsättning frågor, medan IT-, moln- och personuppgiftsleverantörer får påbyggnad.

Vad menas med Shadow IT i det här sammanhanget?

Leverantörsrelationer som uppstått utanför inköpsprocessen: verktyg någon börjat använda på egen hand, molntjänster som följt med ett projekt, integrationer ingen dokumenterat. Eftersom de aldrig passerat inköp saknar de avtal och syns inte i leverantörslistan. Workshopen innehåller ett moment för att få upp dem.

Hur ofta behöver bedömningarna göras om?

Det beror på riskklassen. En leverantör i högsta klassen behöver följas upp regelbundet och vid förändringar i avtal eller tjänst, medan lägre klasser kan glesas ut. Uppföljningsprocessen ni bygger under workshopen sätter intervallen utifrån er egen klassificering.

Vad kostar workshopen?

Fast pris, angivet i offert. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Nr 06

2026

Utbildningar

Er säkerhet är era leverantörers

Leverantörssäkerhet är ett av cybersäkerhetslagens tio säkerhetsområden. I den här workshopen kartlägger ni era leverantörer, bedömer en av dem live och går hem med verktyg ni kan använda på resten.

Boka en kostnadsfri genomgång Vad lagen kräver

Kort svar

Cybersäkerhetslagen (SFS 2025:1506) anger säkerhet i leveranskedjan som säkerhetsområde i 2 kap. 3 § p. 4. Sedan den 1 oktober 2026 preciserar MCFFS 2026:11 4 kap. 1–4 §§, för de verksamheter som omfattas av föreskriftens krav, vad det innebär: riskvärdering före förvärv och utkontraktering, avtal som gör att säkerhetsåtgärderna kan genomföras och förvaltas över tid, och att behovet av information om leverantörens underleverantörer identifieras och hanteras. Vår workshop är en faciliterad halvdag där ni klassificerar era leverantörer, bedömer en live och bygger en uppföljningsprocess.

2 kap. 3 §

Lagen, punkt 4 av tio

4 kap. 1–4 §§

MCFFS 2026:11, från 2026-10-01

Vad kräver cybersäkerhetslagen om leverantörer?

Lagen säger tre ord: säkerhet i leveranskedjan. Punkt 4 pekar ut området men inte metoden, och det är en viktig skillnad om ni ska kunna visa vad ni gjort. Metoden står i MCF:s föreskrift MCFFS 2026:11, som trädde i kraft den 1 oktober 2026.

Från det datumet ska ni enligt föreskriftens 4 kap. 1–4 §§ värdera och omhänderta riskerna innan ni förvärvar system eller lägger ut informationsbehandling. Ni ska säkerställa att de krav föreskriften ställer på er uppfylls av leverantören, utom i de delar ni själva uppfyller kravet i sin helhet, och ni ska utvärdera om den tilltänkta leverantören kan uppfylla kraven under hela avtalstiden. I avtalet ska ni säkerställa att lämpliga och proportionella säkerhetsåtgärder går att genomföra och förvalta över tid.

Föreskriften kräver också att ni identifierar och hanterar behovet av kontinuitet i era digitala leveranskedjor och behovet av att leverantören ger relevant information om sina underleverantörer, så att ni kan omhänderta svagheter i leveranskedjorna, särskilt där alternativa lösningar saknas. Ni ska också identifiera och hantera behovet av att vid förvärv och utkontraktering välja produkter, tjänster och processer som är certifierade enligt europeiska ordningar för cybersäkerhetscertifiering.

Gäller föreskriften alla?

Nej, och undantaget är värt att känna till just i leverantörsfrågan. Föreskriftens krav på säkerhetsåtgärder gäller inte verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden. För dem gäller av föreskriften endast ledningens utbildning. Lagens krav på säkerhet i leveranskedjan gäller däremot fullt ut även för dem. Undantaget kan alltså träffa den som själv är någon annans leverantör, och leverantörens kunder ska enligt sin föreskrift säkerställa att kraven uppfylls av leverantören, vilket görs i avtal.

Vad tillför detta utöver ISO 27001?

ISO 27001:2022 behandlar leverantörsrelationer i A.5.19, säkerhetskrav i leverantörsavtal i A.5.20, leveranskedjan för informations- och kommunikationsteknik i A.5.21 samt uppföljning och förändringar i A.5.22. Har ni valt och infört dessa åtgärder i ert ledningssystem kan en del av underlaget redan finnas. Vad som motsvarar föreskriftens krav behöver ändå prövas krav för krav.

Kraven i ISO 27001 är standardkrav, inte lagkrav. De gäller den som bygger upp eller driver sitt ledningssystem för informationssäkerhet enligt standarden, även utan certifiering. Vilka av åtgärderna i standardens bilaga A som gäller avgör organisationen i sitt uttalande om tillämplighet. Föreskriftens krav gäller däremot med stöd av lagstiftningen för de verksamheter som omfattas av dem och kan följas upp genom tillsyn och ingripanden.

Avtal som ingåtts före den 1 oktober 2026

Föreskriften har också en bestämmelse om avtal ni redan tecknat. Bestämmelsen gäller de verksamheter som omfattas av föreskriftens 4 kap. Enligt 4 kap. 1 § ska ni identifiera och hantera behovet av att, om möjligt, komplettera avtal och överenskommelser som har ingåtts före den 1 oktober 2026 med krav på cybersäkerhet. Risker med avtal och överenskommelser om förvärv och utkontraktering som innehåller otillräckliga krav på cybersäkerhet ska omhändertas.

I praktiken betyder det att de avtal ni redan har om system och om tjänster där någon annan hanterar er information behöver gås igenom, för att se vilka som behöver och går att komplettera med krav på cybersäkerhet. Att en leverantör uppfyllde kraven vid avtalstecknandet 2023 visar inte i sig att kraven är uppfyllda i dag. En policy kan styra arbetet med både nya och befintliga avtal. Själva genomgången återstår: någon behöver bedöma villkoren, ta upp bristerna med leverantören och följa upp vad som blir gjort.

Den samlade bilden

Den svåraste delen är att se leveranskedjan samlat i stället för leverantör för leverantör. Tio leverantörer som var för sig ser hanterbara ut kan alla ligga hos samma molnplattform. De delar alltså ett beroende som behöver bedömas gemensamt. Det är också här kontinuitetsfrågan kommer in: för er som omfattas av föreskriftens 3 kap. gäller att ni ska identifiera och hantera behovet av att på förhand säkerställa tillgång till stöd från relevanta leverantörer (3 kap. 16 §).

Fyra

Risknivåer, olika frågor

Måste alla leverantörer granskas lika hårt?

Nej, och att försöka är det säkraste sättet att inte granska någon alls. Städfirman och den molntjänst där ert affärssystem körs ska inte mötas av samma frågeformulär.

Vi arbetar därför med en riskklassificering i fyra nivåer och ett differentierat frågebatteri. Alla leverantörer möter en basuppsättning frågor. Leverantörer som hanterar IT eller molntjänster får ett påbyggnadsbatteri, och de som behandlar personuppgifter ytterligare ett med dataskyddsfrågor. Djupet följer risken i stället för ambitionen.

Shadow IT: leverantörerna ingen beställde

Leverantörsrelationer uppstår i dag utan att passera inköp: ett verktyg som en avdelning började använda på ett kreditkort, en molntjänst som kom in med ett projekt, en integration någon satte upp och glömde.

En relation som aldrig passerat inköp har inget avtal, ingen bedömning och ingen rad i leverantörslistan, och är därmed osynlig för den som ska svara på tillsynsmyndighetens frågor. Workshopen innehåller därför ett moment för att få upp dem på bordet, utan att det blir en jakt på syndabockar. Målet är en fullständig lista, inte en skuldfördelning.

Kvar

Ansvaret följer inte med

Kan vi lägga över ansvaret på leverantören?

Nej. Ni kan lägga över arbetet, kostnaden och delar av den ekonomiska risken genom avtal, men skyldigheten enligt cybersäkerhetslagen ligger kvar hos er. Tillsynsmyndigheten vänder sig till verksamhetsutövaren, inte till dennes leverantör.

Det gäller även driften. Att ha lagt ut sin IT-drift är inget svar på frågan om hur åtkomstkontrollen fungerar. Det gör bara att svaret måste hämtas någon annanstans. Därför är uppföljningen minst lika viktig som kravställningen: att en leverantör uppfyllde kraven vid avtalstecknandet 2023 visar inte i sig att kraven är uppfyllda i dag.

Rör leverantörsrelationen personuppgifter tillkommer ett eget spår genom dataskyddsförordningen, med personuppgiftsbiträdesavtal och egna krav. De två spåren överlappar men är inte samma sak, och vi håller isär dem i workshopen.

Halvdag

Med en riktig leverantör

Kartlägg, klassificera och bedöm på riktigt material

Workshopen tar fyra timmar och genomförs digitalt, eller på plats om ni väljer det. Ett moment väger tyngre än de andra: vi gör en fullständig bedömning av en av era verkliga leverantörer under passet. Det är den övningen som visar var frågebatteriet behöver anpassas och hur lång tid arbetet faktiskt tar.

Kartlägg leverantörerna
Vilka har ni, vad gör de och vad når de? Här kommer Shadow IT-inventeringen in, och det är den som avgör om listan blir komplett.
Klassificera risken
Fyra nivåer utifrån vad leverantören har åtkomst till och hur beroende verksamheten är. Klassningen avgör hur djupt var och en ska granskas.
Live-bedömning
En verklig leverantör bedöms från början till slut med det differentierade frågebatteriet, medan alla ser hur det går till.
Aggregera och följ upp
Den samlade riskbilden, gemensamma beroenden som inte syns per leverantör, och en uppföljningsprocess som går att driva vidare.

Vilka bör delta

Inköp, IT-ansvariga, avtalsansvariga och ledning. Kombinationen är ovanlig men nödvändig: inköp vet vilka avtal som finns, IT vet vilka system som faktiskt används, och bara ledningen kan avgöra vilka beroenden som är acceptabla.

Vad ni förbereder

En leverantörslista om ni har en, och gärna avtalet med den leverantör ni vill bedöma live. Finns ingen lista bygger vi en under det första momentet, och den listan är en leverabel i sig.

Fem

Plus fem bonusleverabler

Vad ni har i handen efteråt

Verktyg som fungerar på resten av leverantörsstocken, inte bara på den ni hann bedöma under workshopen.

Leverantörsbedömningsverktyg: Riskklassificering i fyra nivåer med det differentierade frågebatteriet: bas, IT och moln, samt dataskydd.
Leverantörsregister: De leverantörer ni kartlagt, med klassning, ansvarig och bedömningsstatus per rad.
Åtgärdslista: Prioriterad lista med de brister bedömningen visat, med en egen sektion för det som kommit fram i Shadow IT-inventeringen.
Avtalschecklista: Säkerhetskrav att ställa vid upphandling och omförhandling, differentierade per riskklass. Innehåller en egen sektion för avtal ingångna före 2026-10-01 och frågan om europeisk cybersäkerhetscertifiering.
Aggregerad riskbild: De gemensamma beroendena namngivna, inte bara summerade per leverantör. Det är den bild som visar när tio relationer i själva verket är ett beroende.

Fast pris, angivet i offert. Workshopen ingår i det samlade workshopprogrammet och bygger vidare på den bild säkerhetsanalysen ger av era beroenden. Frågan om vad som händer när en leverantör faktiskt faller bort hör hemma i kontinuitetsplaneringen, som möter samma krav från andra hållet.

Vanliga frågor

Vad kräver cybersäkerhetslagen om leverantörssäkerhet?: Lagens 2 kap. 3 § p. 4 anger säkerhet i leveranskedjan som ett av de områden säkerhetsåtgärderna åtminstone ska avse, men beskriver inte hur. Det preciseras i MCFFS 2026:11 4 kap. 1–4 §§, som gäller från 2026-10-01 för de verksamheter som omfattas av föreskriftens krav: risker ska värderas och omhändertas före förvärv och utkontraktering, leverantören ska uppfylla de krav föreskriften ställer på er, den tilltänkta leverantörens förmåga att klara kraven under hela avtalstiden ska utvärderas, och avtalet ska göra att säkerhetsåtgärderna kan genomföras och förvaltas över tid. Behovet av kontinuitet i de digitala leveranskedjorna och av information om leverantörens underleverantörer ska identifieras och hanteras.
Måste vi gå igenom avtal vi redan tecknat?: I praktiken ja, om ni omfattas av föreskriftens 4 kap. Enligt MCFFS 2026:11 4 kap. 1 §, som gäller från den 1 oktober 2026, ska ni identifiera och hantera behovet av att, om möjligt, komplettera avtal och överenskommelser som har ingåtts före den 1 oktober 2026 med krav på cybersäkerhet. Det betyder att de avtal ni redan har om system och om tjänster där någon annan hanterar er information behöver gås igenom, för att se vilka som behöver och går att komplettera med krav på cybersäkerhet. Risker med avtal och överenskommelser om förvärv och utkontraktering som innehåller otillräckliga krav på cybersäkerhet ska omhändertas.
Kan vi avtala bort ansvaret till leverantören?: Nej. Arbetet och delar av den ekonomiska risken går att lägga över genom avtal, men skyldigheten enligt lagen ligger kvar hos er. Tillsynsmyndigheten vänder sig till verksamhetsutövaren, inte till leverantören.
Måste vi granska alla leverantörer lika noggrant?: Nej, och det vore ohållbart. Vi arbetar med fyra risknivåer och ett differentierat frågebatteri, så att djupet följer vad leverantören har åtkomst till och hur beroende ni är. Alla möter en basuppsättning frågor, medan IT-, moln- och personuppgiftsleverantörer får påbyggnad.
Vad menas med Shadow IT i det här sammanhanget?: Leverantörsrelationer som uppstått utanför inköpsprocessen: verktyg någon börjat använda på egen hand, molntjänster som följt med ett projekt, integrationer ingen dokumenterat. Eftersom de aldrig passerat inköp saknar de avtal och syns inte i leverantörslistan. Workshopen innehåller ett moment för att få upp dem.
Hur ofta behöver bedömningarna göras om?: Det beror på riskklassen. En leverantör i högsta klassen behöver följas upp regelbundet och vid förändringar i avtal eller tjänst, medan lägre klasser kan glesas ut. Uppföljningsprocessen ni bygger under workshopen sätter intervallen utifrån er egen klassificering.
Vad kostar workshopen?: Fast pris, angivet i offert. Workshopen ingår också i det samlade workshopprogrammet, där paketpriset är lägre än de fem workshopparna var för sig.

Boka leverantörssäkerhetsworkshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom hur er leverantörsbild ser ut i dag och om workshopen är rätt nästa steg. Inga förpliktelser.

Boka 30 minuter Läs om cybersäkerhetslagen