Tredjepartsrisker enligt GDPR, NIS2 och DORA

Samma leverantör kan ge upphov till skyldigheter inom dataskydd, cybersäkerhet och operativ motståndskraft. En lönetjänstleverantör behandlar personuppgifter; en leverantör av hanterade tjänster har privilegierad åtkomst; en molnplattform stöder verksamhetskritiska applikationer. Ibland gör en och samma leverantör alla tre.

En gemensam leverantörspost hjälper teamen att samordna bedömningen, förutsatt att varje skyldighet förblir identifierbar. För en CTO är den praktiska utmaningen att koppla avtalsåtaganden till den tekniska verkligheten: vad leverantören kan komma åt, hur fel sprider sig, vilka kontroller som är styrkta och om organisationen kan återställa eller lämna leverantören.

Fastställ tillämpligheten innan bedömningarna kombineras

Regelverken överlappar, men de gäller inte för varje organisation eller leverantör på samma sätt.

Artikel 28 i dataskyddsförordningen (GDPR) kräver att personuppgiftsansvariga anlitar personuppgiftsbiträden som ger tillräckliga garantier. Ett avtal enligt artikel 28 är inte lämpligt bara för att en leverantör tar emot uppgifter: fastställ först den faktiska rollen i behandlingen.

Artiklarna 20–23 i NIS2 behandlar ledningens tillsyn, riskhanteringsåtgärder och rapportering av betydande incidenter. NIS2 är ett direktiv som genomförs genom nationell lagstiftning, så omfattning och förfaranden kräver kontroller per jurisdiktion.

DORA har tillämpats sedan den 17 januari 2025. Förordningen omfattar i första hand angivna finansiella enheter; vanliga IKT-leverantörer kan möta avtalskrav från kunder, medan utsedda kritiska IKT-leverantörer har en separat tillsynsordning. För finansiella enheter som omfattas fungerar DORA som sektorsspecifik EU-rätt för relevanta NIS2-områden. Duplicera inte automatiskt båda uppsättningarna av kontroller.

Bygg posten kring beroendet

Utgå från tjänsten, inte från leverantörsenkäten. En leverantör kan tillhandahålla flera tjänster med olika uppgifter, olika åtkomst och olika operativ betydelse.

Som praktisk grund, dokumentera:

• Tjänst, leverantörens juridiska person, verksamhetsägare, teknisk ägare och granskare.
• Funktioner, system, integrationer och privilegierad åtkomst som stöds.
• Kategorier av personuppgifter, ändamål med behandlingen, platser och underbiträden.
• Krav på tillgänglighet, återställningsmål och tolerabla störningar.
• Underliggande leverantörer, avtalsmässiga beroenden och realistiska alternativ.
• Tillämpliga skyldigheter, datum för underlag, olösta brister och beslut.

Identifiera vilka funktioner som skulle fallera eller försämras efter ett intrång eller ett avbrott. En leverantör som lagrar lite känsliga uppgifter kan ändå kontrollera autentisering eller driftsättningspipelines. Omvänt kan en tjänst med låg tillgänglighetsrisk exponera mycket känsliga personuppgifter.

Håll dessa dimensioner åtskilda i stället för att slå ihop dem till ett oförklarat värde för ”hög risk”. För finansiella enheter som omfattas av DORA, koppla den operativa förteckningen till det obligatoriska informationsregistret över avtalsarrangemang för IKT-tjänster; en allmän leverantörslista räcker inte nödvändigtvis.

Återanvänd underlag utan att blint återanvända slutsatser

En säkerhetsrapport, en karta över dataflöden eller ett återställningstest kan stödja flera granskningar. Kontrollera tjänsteomfattning, rapporteringsperiod, undantag, avvikelser och kundens ansvar innan ni förlitar er på underlaget.

En rapport som omfattar leverantörens infrastruktur omfattar till exempel inte nödvändigtvis supportpersonalens åtkomst till kundposter. En dokumenterad policy för säkerhetskopiering visar inte att återställningen uppfyller er applikations krav på återställning.

Upprätthåll en matris som kopplar underlag till frågor:

Ett ISO-certifikat eller en SOC 2-rapport stöder säkerhetsgarantier inom sin omfattning; ingen av dem fastställer efterlevnad av GDPR eller NIS2. Bevara granskarens resonemang, inte bara det uppladdade dokumentet. Att utvärdera säkerhetsgarantier bör vara en repeterbar teknisk granskning, inte en kontroll av märken.

Översätt kraven till avtal och kontroller

Enligt artikel 28 i GDPR måste biträdesvillkoren ange föremålet för behandlingen, dess varaktighet, art och ändamål, typen av personuppgifter och kategorierna av registrerade. De omfattar också dokumenterade instruktioner, sekretess, säkerhet, villkor för underbiträden, bistånd, radering eller återlämnande samt skyldigheter kring information och granskning. Internationella överföringar kräver en separat bedömning enligt kapitel V; hosting i EU avgör inte ensamt frågor om åtkomst eller vidareöverföring.

Artikel 21 i NIS2 omfattar säkerhet i leveranskedjan och hänsyn till direkta leverantörers sårbarheter och cybersäkerhetspraxis. Praktiska avtalsförväntningar kan omfatta åtkomstbegränsningar, sårbarhetshantering, samarbete vid incidenter och tillhandahållande av underlag. Anpassa dem till tjänsten och de nationella kraven i stället för att behandla ett enda universellt klausulpaket som rättsligt tillräckligt.

Artikel 30 i DORA anger avtalsbestämmelser för IKT-tjänster, med ytterligare krav för tjänster som stöder kritiska eller viktiga funktioner. Granska tjänstebeskrivningar, platser, dataskydd och återställning, bistånd, uppsägning och relevanta tillsynsrättigheter. Kritiska eller viktiga funktioner kräver särskild uppmärksamhet på servicenivåer, rapportering, beredskapsåtgärder, samarbete vid tester, revisionsrätt och övergångsarrangemang.

Verifiera därefter genomförandet. Om ett avtal utlovar begränsad administrativ åtkomst, inhämta underlag om rollseparation, autentisering, godkännande och loggning. Om det utlovar radering, fastställ vad som händer med säkerhetskopior och sparade poster. Tilldela rättsliga brister och tekniska brister till lämpliga granskare.

Utforma överlämningar vid incidenter före en incident

En leverantörs policy för incidenthantering kan stödja en säkerhetsbedömning men lämna skyldigheterna att underrätta olösta. Ange kontaktkanaler, täckning för eskalering, den första informationen, förväntningar på uppdateringar och ansvaret för att bevara underlag.

Enligt artiklarna 33–34 i GDPR underrättar ett personuppgiftsbiträde den personuppgiftsansvarige utan onödigt dröjsmål. Den personuppgiftsansvarige bedömer anmälan till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått vetskap om incidenten, om det inte är osannolikt att den medför en risk för enskildas rättigheter och friheter. En hög risk kan kräva information till enskilda, med förbehåll för undantag. Dokumentera resonemanget när en anmälan inte krävs.

NIS2:s rapporteringssteg i EU för betydande incidenter omfattar en tidig varning inom 24 timmar, en anmälan inom 72 timmar och i regel en slutrapport inom en månad från anmälan; kontrollera nationella och sektorsspecifika regler. DORA har ett eget rapporteringsramverk för större IKT-relaterade incidenter. Ersätt inte dessa bedömningar med en enda flagga för ”intrång” hos leverantören.

Som praktisk rekommendation, öva på en leverantörsincident med ofullständig information. Testa om teamen kan fastställa berörda tjänster, exponering, operativ påverkan och beslut om rapportering utan att vänta på en slutlig rapport om grundorsaken.

Exempel: en tjänst, tre granskningsvägar

Anta, som illustration, att en finansiell enhet som omfattas av DORA använder en hostad kundsupportplattform som behandlar personuppgifter och stöder en funktion som enheten har klassificerat som kritisk eller viktig enligt DORA.

Leverantören tillhandahåller en granskningsrapport, en incidentpolicy och en sammanfattning av ett återställningstest. Säkerhetsfunktionen konstaterar att kontrollerna för administrativ åtkomst är styrkta, men att återställningstestet inte omfattar kundens integration.

Dataskyddsfunktionen identifierar separat en oklar process för byte av underbiträden och olösta överföringsarrangemang vid fjärråtkomst. DORA-granskningen konstaterar att övergångsstöd och relevanta revisionsbestämmelser behöver åtgärdas.

Den resulterande åtgärdsplanen är konkret:

• Den tekniska ägaren testar återställningen av integrationen och dokumenterar resultatet.
• Dataskyddsgranskaren löser frågorna om underbiträden och överföringar.
• Juridik och inköp hanterar avtalsbristerna.
• Den ansvariga ägaren beslutar om tillfällig användning är godtagbar, med villkor och ett datum för omprövning.

Underlagen återanvänds, men ingen av de tre slutsatserna härleds från någon annan. En godkänd säkerhetsgranskning stänger inte bristerna inom dataskydd eller motståndskraft.

Övervaka förändringar, koncentration och genomförbar exit

Fastställ granskningsfrekvensen utifrån beroende och risk. Utlös ytterligare granskning efter incidenter, större tjänsteförändringar, nya underbiträden, ändrade platser för uppgifter, ägarbyten eller avtalsförnyelse.

Titta bakom leverantörsnamnen: flera tjänster kan vara beroende av samma molnregion, identitetsleverantör eller underleverantör. Bedöm samvarierande störningar och om det föreslagna alternativet delar samma beroende. Artikel 29 i DORA behandlar uttryckligen bedömningen av koncentrationsrisk avseende IKT.

Upprätthåll en proportionerlig exitplan som omfattar dataexport, migrering, kontinuitet, återkallelse av åtkomst och underlag för radering. Testa att exporten är användbar och identifiera vem som kan driva ersättningen. En uppsägningsrätt är mer användbar när organisationen kan utöva den.

Konsekvenserna skiljer sig också åt. GDPR har sanktionsnivåer som beror på överträdelsen; NIS2 kräver nationella sanktionsordningar med olika tak för väsentliga och viktiga verksamhetsutövare. Sanktioner enligt DORA för finansiella enheter beror på tillämpliga arrangemang, medan sanktioner inom tillsynen över kritiska leverantörer är separata. Modellera inte exponeringen utifrån en förmodad universell sanktionsavgift.

Börja med ett beroende som får konsekvenser

Välj en leverantör som stöder en viktig funktion. Stäm av dess tjänsteförteckning, avtal, underlag, öppna risker och antaganden om exit. Avsluta med namngivna ägare och separata, daterade slutsatser för varje tillämplig skyldighet.

I Secani kan team modellera tjänsten och den externa leverantören, koppla krav och kontroller till underlag och följa brister som uppgifter med ägare. Beslut som granskats av människor, källänkar, kommentarer och tidsstämplar bevarar resonemanget. Det stöder ett gemensamt leverantörssammanhang utan att dölja de separata bedömningarna av dataskydd, säkerhet och motståndskraft.