Leverantörskedjor och ansvar: 
När säkerhet sträcker sig bortom den egna organisationen

Digitaliseringen av vård, omsorg och samhällsservice bygger i allt högre grad på ekosystem av leverantörer: Molntjänster, systemplattformar, sensorer, nät och driftpartners.

Det innebär att cybersäkerhet inte längre kan hanteras enbart inom den egna organisationen. Säkerheten är lika stark som den svagaste länken i leverantörskedjan.

Från regelverk till verklighet
Med NIS2 och CER tydliggörs kraven: Organisationer ansvarar inte bara för sin egen IT-miljö, utan även för risker kopplade till leverantörer och partners.

I praktiken innebär det att:

• säkerhetskrav måste ställas redan i upphandling 

• leverantörer behöver granskas och följas upp 

• incidenter kan uppstå i flera led – och måste hanteras gemensamt 

Detta markerar ett skifte från policy till operativt ansvar i vardagen.

Vem äger risken – egentligen?
När flera aktörer samverkar uppstår ofta otydlighet:
Är det kommunen som äger risken? Leverantören? Driftpartnern? Fastighetsägaren?

I praktiken delas ansvaret – men utan tydliga gränssnitt riskerar det att bli ingen som äger helheten. Det är här många incidenter får sin startpunkt.

Säker digitalisering i praktiken
Organisationer som lyckas med säker digitalisering arbetar systematiskt med att översätta regelverk till konkreta arbetssätt:

• tydliga krav på säkerhet, dataskydd och interoperabilitet i avtal 

• kontinuerlig uppföljning av leverantörers säkerhetsarbete 

• gemensamma rutiner för incidenthantering 

• kartläggning av beroenden mellan system och aktörer 

Det handlar om att göra säkerhet till en integrerad del av drift och förvaltning – inte ett separat dokument.

Dataskydd som del av helheten
Dataskydd och integritet är en central del av denna utveckling. När data delas mellan flera aktörer krävs både tekniska och organisatoriska lösningar som säkerställer att information hanteras korrekt genom hela kedjan.

Här blir kopplingen mellan NIS2, CER och dataskydd tydlig: Tillsammans skapar de ett ramverk för tillit i digitala tjänster.

En strategisk fråga för ledningen
Cybersäkerhet i leverantörskedjor är i grunden en ledningsfråga. Det handlar om risk, ansvar och kontinuitet – inte bara teknik.

En praktisk reflektion
När digitaliseringen växer blir frågan allt mer central:

Har ni kontroll över er egen IT-miljö – eller över hela den digitala leverantörskedjan?

Det är där säker digitalisering prövas i praktiken.