Mall för leverantörsriskbedömning

De flesta intrång ett litet företag drabbas av kommer inte genom företagets egen dörr. De kommer genom en leverantör som redan har åtkomst till e-post, lönesystem, bokföring eller kundregister. När den leverantören komprometteras är det era kunder som ligger i läckan, och det är er verksamhet som ska förklara sig.

En leverantörsriskbedömning är därför inte ett dokument för revisionsmappen. Den är ett urval: vilka tredjeparter får bära era uppgifter, och vad kräver ni av dem innan de gör det. Här är strukturen vi använder, med de frågor som brukar ge tydligast svar och de bevis som avgör om svaren håller.

Leverantören sitter redan innanför dörren

I Verizon DBIR 2025 fördubblades andelen intrång som började hos en tredje part, från omkring 15 till 30 procent, och enligt SecurityScorecard har en majoritet av organisationerna haft minst en allvarlig incident hos en leverantör det senaste året. Mönstret är igenkänt: en integration med vid behörighet, ingen granskning sedan avtalet skrevs och ingen som visste vilka uppgifter som faktiskt delades.

För ett småföretag är konsekvensen dubbel: verksamheten står still när en tjänst försvinner, och GDPR pekar ut er som ansvariga för uppgifterna — även när någon annan tappade dem.

Vad bedömningen ska svara på

En bra bedömning svarar på fyra frågor:

Vilka av våra uppgifter får leverantören se, och var lagras de?
Vilka tekniska kontroller har leverantören, och finns det bevis för dem?
Vad händer om något går fel — vem larmar, inom vilken tid och enligt vilket avtal?
Vad kostar det oss att byta leverantör om svaren inte håller?

En leverantör som är omöjlig att lämna är i praktiken en del av er infrastruktur och ska bedömas därefter.

Tre nivåer räcker för att prioritera

Ingen har tid att skicka åttio frågor till varje konsult. Dela in leverantörerna efter vilken åtkomst de har, inte efter hur stora de är.

Nivå	Kännetecken	Bedömning	Omprövning
Kritisk	Personuppgifter, ekonomi, nätverksåtkomst eller driftskritisk tjänst	Fullständigt formulär, bevis och avtalsgranskning	Årligen
Måttlig	Begränsad data, integrerar med interna system	Kortare formulär, 15–25 frågor	Var 18:e månad
Låg	Ingen känslig data, lätt att ersätta	10–15 frågor vid tecknande	Vid förnyelse

Så sätter ni nivån i praktiken

Utgå från uppgifterna, inte från tjänstens namn. En städfirma kan ha nyckel till kontoret men ingen systemåtkomst; en liten e-posttjänst kan ha all intern korrespondens. Skriv nivån i leverantörsregistret med en motivering och sätt datum för omprövning direkt.

Frågeformuläret: åtta domäner

Frågorna behöver inte vara originella. Det som avgör kvaliteten är att de är desamma varje gång, så att svaren går att jämföra över tid.

Domän	Exempel på fråga
Omfattning	Vilka av våra uppgifter behandlar ni, och anlitas underleverantörer?
Styrning	Finns en dokumenterad säkerhetspolicy, och när reviderades den senast?
Dataskydd	Hur krypteras uppgifter i vila och i transit, och var lagras de geografiskt?
Åtkomst	Krävs MFA för all administration och all fjärråtkomst?
Incidenter	Inom vilken tid aviserar ni oss vid en incident som rör våra data?
Kontinuitet	Vilka RTO och RPO gäller för den tjänst vi köper?
Sårbarheter	Hur ofta skannas och patchas systemen, och testas de av utomstående?
Regelefterlevnad	Vilka certifieringar har ni, och vilken omfattning har de?

För kritiska leverantörer tillkommer frågor om loggning, datautlämning vid avtalets slut och personuppgiftsbiträde enligt GDPR artikel 28 — det är där avtalen oftast är tomma.

Bevis slår självskattning

Ett kryss i en ruta är ingen kontroll. Be om underlag när risken är hög:

SOC 2 Type II som täcker minst sex månader. Typ I säger bara att kontrollerna är designade, inte att de fungerar.
ISO 27001-certifikat med omfattningsbeskrivning, så att det går att se vilka delar av verksamheten som certifierats.
Sammanfattning av senaste penetrationstest, med datum och vem som utförde det.
Kontinuitets- och återställningsplan, samt när den senast testades.
Försäkringsbevis för cyberansvar, om ni behöver visa det mot en kund.

Saknas bevisen är svaret inte ett nej, men det är ett ja med villkor: begränsad data, skärpt övervakning och en skriftlig åtgärdsplan med datum.

Så poängsätter ni svaren

Poängsättningen ska vara enkel att faktiskt göra.

Svar	Poäng	Tolkning
Uppfyllt med bevis	1	Låg risk, följ upp vid nästa cykel
Delvis uppfyllt, plan finns	2	Medelrisk, kräv datum för åtgärd
Inte uppfyllt, ingen plan	3	Hög risk, eskalera innan avtal
Inget svar	4	Kan inte bedömas, överväg annan leverantör

Snittet ger en nivå: under 1,5 låg risk, 1,6–2,0 medel, 2,1–3,0 hög och över 3,0 kritisk. Räkna det högsta enskilda svaret som ett golv — en leverantör som är utmärkt på allt utom åtkomstkontroll är ingen låg risk.

Det som ska stå i avtalet

Svaren ska landa i kontraktet, annars är de bara en åsikt. Tre punkter avgör mest vid en tvist: hur snabbt en incident måste aviseras, vilka säkerhetskrav som gäller under avtalstiden och vad som händer med uppgifterna när avtalet upphör.

Lägg till rätt till granskning eller oberoende revisionsrapporter, krav på att underleverantörer godkänns i förväg och skyldighet att radera eller återlämna data vid avslut. Våra mallar för säkerhetspolicyer täcker den interna sidan; avtalen måste säga samma sak.

Fjärde part och underleverantörer

Leverantörens leverantör är också er risk. Frågan »anlitar ni underleverantörer, och i så fall vilka« bör vara obligatorisk och följas upp årligen. NIST SP 800-161 utgår från just den kedjan: risken följer inte bara företaget ni skriver avtal med, utan varje led under det.

Praktiskt räcker två steg: begär en lista över underleverantörer som hanterar era uppgifter, och kräv att ändringar meddelas innan de träder i kraft. Då slipper ni kartlägga hela kedjan själva.

Vanliga misstag

Att bara bedöma vid tecknande. Risken förändras: leverantören byter underleverantör, tappar sin certifiering eller får en incident. Sätt en cykel och håll den.
Att behandla alla lika. Ett formulär på åttio frågor till en kontorsleverantör gör att programmet dör av utmattning inom ett år.
Att låta svaren ligga i inkorgen. Utan ett gemensamt register går det inte att se vilka som saknar bedömning eller vilka som lovat åtgärder.
Att hoppa över juridiken. Utan säkerhetskrav i avtalet finns ingen hävstång när svaren inte stämmer.

Ett program i tre steg

Börja litet och gör det repeterbart. Steg ett är en lista över leverantörer med åtkomst till uppgifter eller system, med nivå och ansvarig person — oftast kortare än befarat, men nästan alltid med någon glömd: ett gammalt faktureringsverktyg, en frilansare med inloggning kvar.

Steg två är att skicka formuläret till de fem till tio mest kritiska och läsa svaren. Steg tre är en årlig cykel med datum i kalendern, där avtalsgranskning går hand i hand med bedömningen. Vill ni gå vidare är SOC 2 och ISO 27001 nästa naturliga jämförelse, eftersom kunderna snart ställer samma frågor till er.

Vanliga frågor

Hur många frågor ska formuläret innehålla? Det beror på nivån. Kritiska leverantörer tål fyrtio till åttio frågor, en leverantör utan dataåtkomst klarar sig med tio till femton. Ett för långt formulär besvaras slarvigt.

Räcker ett SOC 2-intyg i stället för formuläret? För en del av frågorna, ja — men bara om rapporten är av typ II och omfattar de tjänster ni köper. Den ersätter inte frågor om avtal, underleverantörer och datautlämning.

Vad gör vi om leverantören vägrar svara? Dokumentera vägran som en risk och erbjud alternativ: en ny SOC 2 Type II, ett ISO 27001-certifikat med rätt omfattning eller ett standardiserat SIG-formulär. Kvarstår vägran minskar ni dataåtkomsten eller byter leverantör.

Måste ett företag med tio anställda göra det här? Ja, men i liten skala. Börja med de tre till fem leverantörer som har mest åtkomst, använd samma frågor varje gång och sätt datum för omprövning. Ett kalkylarksregister är bättre än ingen struktur alls.

Vill ni ha hjälp att sätta nivåerna och granska de svar ni redan fått in? Prata med vårt team — vi börjar med era fem viktigaste leverantörer.

Leverantörsriskbedömning: frågeformulär och mall