--- title: "Efterlevnad via ombud skalar inte | Guardian360" description: "Cyberbeveiligingswet ålägger runt 8 000 organisationer i Nederländerna nya skyldigheter, men efterlevnadsfrågan landar på de 100 000+ leverantörer som finns under dem. Varför modellen med frågeformulär en-till-en brister vid skala, och hur det egentligen borde se ut att visa sitt arbete." url: https://guardian360.net/sv/blog/compliance-by-proxy-doesnt-scale/ locale: en source: guardian360.net --- [← Alla inlägg](https://guardian360.net/sv/blog/) Efterlevnad # Efterlevnad via ombud skalar inte Av Jan Martijn Broekhof · 18 augusti 2026 Cyberbeveiligingswet trädde i kraft den 15 augusti 2026 och formaliserade nya skyldigheter för runt 8 000 organisationer i Nederländerna (Rijksoverheid, 2026). Det tog rådgivningsmarknaden månader att förbereda sig för detta datum, och nästan all den förberedelsen gick till en grupp: de väsentliga och viktiga entiteter som nu är direkt ålagda skyldigheter enligt den nya lagen. Konsulter har varit fullbokade med att hjälpa dessa organisationer att kartlägga sina aktsamhetsåtgärder, registrera sig hos NCSC och få ordning på sin styrning. Anta, försiktigt räknat, att var och en av dessa 8 000 organisationer förlitar sig på minst tjugo leverantörer, och antalet företag som nu står inför en efterlevnadsfråga på grund av denna lag, utan att själva vara direkt reglerade, uppgår redan bekvämt till över 100 000. NFIR lade märke till något annat medan de utförde just sådant rådgivningsarbete. Sittande mitt i dessa samtal dök samma glapp upp gång på gång: den ålagda organisationen själv var vanligtvis i rimligt skick, ofta redan ISO 27001-certifierad eller väl på väg, men dess leverantörer var det inte. Dessa leverantörer hade inget certifikat att peka på, inget gemensamt sätt att påvisa sin säkerhetsställning och ingen aning om hur de skulle besvara den efterlevnadsfråga som var på väg att landa i deras inkorg från flera kunder samtidigt. Bizway såg samma problem från andra hållet. Som leverantör själv hade Bizway redan börjat märka en ökning av just den här typen av förfrågan: kunder som frågade, ibland formellt och ibland som en eftertanke i en kontogenomgång, hur Bizway kunde påvisa att företaget uppfyllde NIS2-relaterade förväntningar. Två organisationer, två utsiktspunkter, samma observation: trycket från denna lag skulle aldrig hålla sig inom de 8 000 direkt reglerade företagen. Det skulle alltid landa ett lager längre ner, på dem som levererar till dessa företag. ## Varför ber din kund plötsligt om en efterlevnadsförklaring? Detta är ingen slump, och det är inte överambitiös kontohantering. Artikel 21 i NIS2-direktivet kräver att väsentliga och viktiga entiteter hanterar säkerheten i sin leveranskedja, inklusive de säkerhetsrelaterade aspekterna av deras relationer med direkta leverantörer (ENISA, 2023). I praktiken kan den skyldigheten inte stanna inom den reglerade organisationen. Den måste föras nedåt, in i avtal, onboarding-checklistor och, mest synligt, in i en efterlevnadsfråga riktad till varje leverantör som organisationen är beroende av. ENISA:s egen analys av cybersäkerhet i leveranskedjor, publicerad 2023 och fortfarande den mest citerade EU-referensen om denna mekanism, fann att intrång via leveranskedjan hade vuxit från under 1 procent av intrången 2020 till 17 procent 2021. I 66 procent av de incidenter som granskades visste den drabbade leverantören inte hur den hade komprometterats, eller kunde inte förklara det på ett transparent sätt för kunden som förlitade sig på den. Det är precis det glapp som Cyberbeveiligingswet är utformad för att sluta, och precis därför en reglerad organisation nu har alla skäl att be sina leverantörer att visa sitt arbete snarare än att lita på det. ## Är inte ett certifikat det självklara svaret? Det snygga svaret vore att varje leverantör skaffar ISO 27001-certifiering och lägger saken till handlingarna. För en handfull större leverantörer är det en rimlig väg, och vissa gör det redan. För de flesta är det inte realistiskt, och det är förmodligen inte heller nödvändigt. Ett certifikat är dyrt, tar månader att erhålla och är byggt för organisationer av en viss storlek och mognad. Gott om leverantörer som inte utgör någon meningsfull risk för sina kunders NIS2-efterlevnad ombeds, underförstått, att bete sig som om de gjorde det. Vad dessa leverantörer faktiskt behöver är inte ett certifikat. Det är ett trovärdigt, evidensbaserat sätt att besvara den fråga de får, uppbackat av något mer solitt än ett lugnande mejl. ## Vad händer när en leverantör får samma fråga femtio gånger? Här förvärras problemet. En leverantör har sällan bara en kund som ställer denna fråga; den har flera, var och en med ett något annorlunda formulär, en annan deadline och en annan uppsättning förväntade svar. ISACA:s branschanalys från maj 2026 beskriver detta direkt som en förskjutning från frågeformulärströtthet till behovet av kontextuell, evidensbaserad försäkran, och noterar att den gamla modellen med tillfälliga engångsformulär helt enkelt inte skalar när varje kund börjar fråga oberoende av varandra (ISACA, 2026). Multiplicera det med antalet kunder en medelstor leverantör betjänar, och leverantören slutar med att lägga mer tid på att fylla i formulär än på att faktiskt förbättra sin säkerhet. Det är inte ett misslyckande i någon enskild leverantörs noggrannhet. Det är ett strukturellt misslyckande hos en modell byggd för enstaka frågor, som nu ställs kontinuerligt och samtidigt av alla på en gång. ## Vore inte ett skräddarsytt frågeformulär från varje kund mer grundligt? Det finns ett verkligt argument för det nuvarande tillvägagångssättet. En kund som utformar sitt eget frågeformulär kan anpassa det exakt till den risk som leverantören utgör för dem: en leverantör som hanterar känsliga data får andra frågor än en som levererar kontorsmöbler med en internetansluten passerkortsläsare. Skräddarsydda frågeformulär håller också ägarskapet och ansvaret precis där NIS2 placerar det, hos den reglerade organisationen själv, inte hos en delad mall som ingen har granskat. Problemet är att denna grundlighet bara fungerar i liten skala. När en organisation väl måste bedöma dussintals eller hundratals leverantörer, och när var och en av dessa leverantörer besvarar samma förfrågan från flera kunder parallellt, blir en skräddarsydd, manuell process inte mer träffsäker med volym. Den blir långsammare, mer inkonsekvent och mer sannolik att besvaras ytligt bara för att få den ur vägen. Precision som köps till priset av att uppgiften faktiskt slutförs är inte till mycket nytta för någon. ## Hur ser det egentligen ut att ”visa sitt arbete”? Det är det problem som Lighthouses nya funktion för efterlevnadsformulär, byggd tillsammans med NFIR och Bizway, är inriktad på. Den ger en organisation standardiserade NIS2/Cbw-frågeformulär, i varianter skalade efter om kunden är en väsentlig eller en viktig entitet, så att en leverantör kan fylla i något som står i proportion till den faktiska skyldigheten snarare än ett maximalistiskt värsta fall. Svaren reduceras inte till ja eller nej; varje svar bär evidens, en förklaring eller ett förväntat datum där något fortfarande pågår, och varje svar tidsstämplas med ett granskningsspår. Den mer användbara förändringen är vad som händer efter det första svaret. En leverantör kan svara en gång, bifoga evidensen och återanvända det attesterade beviset nästa gång en annan kund ställer samma fråga, istället för att börja om från ett tomt formulär varje gång. Ännu bättre: en leverantör behöver inte vänta på förfrågan alls: samma ifyllda frågeformulär kan delas proaktivt med alla kunder samtidigt, och föregripa frågan innan den ens landar. För kundsidan kan en organisation registrera de leverantörer den är beroende av, skicka var och en det lämpliga frågeformuläret i sitt eget namn, och se en liveöversikt över var hela kedjan står, med omvärdering ett enda klick bort vid nästa cykel. Frågeformulären ingår utan extra kostnad för Guardian360:s partners och deras kunder, så budget är inte skälet att skjuta upp detta till nästa kvartal. Guardian360 är tydligt med att detta är ett beredskapsverktyg, inte en certifiering: det ersätter inte en formell revision eller överensstämmelsebedömning, och det gör inte anspråk på det. Vad det ersätter är de femtio separata kalkylark som ingen hann jämföra. ## Poängen var aldrig de 8 000 Det är värt att återvända till där detta började. NIS2, och den Cyberbeveiligingswet som införlivar det, handlade aldrig egentligen om att härda 8 000 organisationer i isolering. Hela logiken bakom artikel 21:s krav på leveranskedjan är att en reglerad organisations säkerhet bara är så god som leverantörerna under den. Behandla lagen som en efterlevnadsövning för de företag som namnges i dess tillämpningsområde, och den faktiska ambitionen, att höja säkerhetsgolvet över en hel leveranskedja på långt över 100 000 företag, misslyckas tyst vid första länken utanför det tillämpningsområdet. NFIR upptäckte detta från rådgivarstolen, och såg organisation efter organisation få ordning på sitt eget hus medan deras leverantörer inte hade någonstans att vända sig. Bizway upptäckte det från mottagarsidan, och besvarade samma fråga allt oftare och med allt mindre tålamod varje gång. De två observationerna pekar på samma slutsats: efterlevnad via ombud, en kund, ett frågeformulär, en leverantör i taget, skalar inte till storleken på det problem NIS2 skrevs för att lösa. Att bygga för lagret under de 8 000 är inte ett sidoprojekt. Det ligger närmare lagens faktiska poäng än vad certifieringskapplöpningen har gjort. ## Källor - Rijksoverheid (7 juli 2026). [Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht). - NCSC. [Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2). - ENISA (juni 2023). [Good Practices for Supply Chain Cybersecurity](https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity). - ISACA (4 maj 2026). [Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance](https://www.isaca.org/resources/news-and-trends/industry-news/2026/enhancing-third-party-risk-management-moving-from-questionnaire-fatigue-to-contextual-assurance).