Tredjeparts-risiko: Din leverandør kan være din svakeste lenke

Cyberkriminelle har skjønt noe viktig: Hvorfor angripe et godt sikret selskap direkte når du kan ta omveien via deres mindre sikrede leverandører?

Forsyningskjedeangrep (supply chain attacks) er blant de raskest voksende cybertruslene mot små og mellomstore bedrifter. Fra programvareleverandører og IT-tjenesteleverandører til regnskapsbyråer og lønnsadministratorer – hver tredjepart med tilgang til systemene eller dataene dine representerer en potensiell inngangsport for angripere.

Med det nye NIS2-direktivet som trer i kraft i Norge i 2025, blir det også et lovkrav for mange bedrifter å sikre at leverandørene deres oppfyller minimumsstandarder for cybersikkerhet.

I denne artikkelen ser vi på hvordan forsyningskjedeangrep fungerer, reelle eksempler, NIS2s krav til leverandørsikkerhet, og praktiske tiltak for å beskytte din bedrift mot tredjeparts-risiko.

Hva er et forsyningskjedeangrep?

Et forsyningskjedeangrep skjer når angripere infiltrerer en organisasjon via en tredjepart – typisk en leverandør, partner eller underleverandør med tilgang til systemer, data eller nettverk.

Reelle eksempler på forsyningskjedeangrep

Forsyningskjedeangrep er ikke hypotetiske – de har rammet tusenvis av organisasjoner globalt. Her er noen av de mest kjente:

Disse eksemplene viser at ingen bransje er trygg, og at selv tilsynelatende ubetydelige leverandører kan representere stor risiko.

Betrodd av organisasjoner innen helse, teknologi og offentlig sektor

SMB i dobbel risiko: Både mål og mellomledd

Små og mellomstore bedrifter står overfor en dobbel utfordring når det gjelder tredjeparts-risiko:

1. Som mål: Dine leverandører kan kompromittere deg

Hvis din IT-leverandør, skylagringsleverandør, regnskapsbyrå eller lønnsleverandør hackes, kan angripere få tilgang til dine systemer og data via deres tilkoblinger.

2. Som mellomledd: Du kan kompromittere dine kunder

Hvis du er leverandør til større bedrifter eller offentlige virksomheter, kan et sikkerhetsbrudd hos deg brukes som inngangsport til dine kunder. Dette kan ødelegge omdømmet ditt og føre til kontraktsbrudd eller erstatningskrav.

Slik beskytter du bedriften mot tredjeparts-risiko

God leverandørsikkerhet handler om risikostyring, ikke perfeksjon. Her er de viktigste tiltakene:

1. Kartlegg alle kritiske leverandører

Start med å lage en fullstendig oversikt over alle tredjeparter som har tilgang til systemer, nettverk eller data:

• IT-tjenesteleverandører (MSP, cloud, hosting)
• Programvareleverandører (SaaS-apper, CRM, ERP)
• Regnskaps- og lønnsbyråer
• Underleverandører og konsulenter med systemtilgang
• Fysiske leverandører med nettverkstilgang (vakter, vedlikehold osv.)

Tips: Bruk en leverandørregistermal som dokumenterer navn, kontaktinfo, tilgangsnivå og sikkerhetsrisiko.

2. Klassifiser leverandører etter risiko

Ikke alle leverandører representerer like stor risiko. Prioriter etter:

• Høy risiko: Tilgang til kritiske systemer, personopplysninger eller forretningskritisk data
• Middels risiko: Begrenset tilgang, men kan påvirke drift eller sikkerhet
• Lav risiko: Ingen direkte tilgang til systemer eller data

Fokuser mest innsats på høyrisiko-leverandører.

3. Gjennomfør sikkerhetsvurderinger av leverandører

Før du signerer en kontrakt (og jevnlig etterpå), vurder leverandørens sikkerhetsnivå:

• Spørreskjema: Send et standardisert sikkerhetsspørreskjema (mange maler tilgjengelig)
• Sertifiseringer: Krev relevant dokumentasjon (ISO 27001, SOC 2, NIS2-compliance)
• Revisjon: For høyrisiko-leverandører, gjennomfør sikkerhetrevisjon eller be om tredjeparts penetrasjonstest-rapport
• Referanser: Snakk med andre kunder om deres erfaringer

4. Inkluder sikkerhetskrav i kontrakter

Sikkerhet må være kontraktsfestet, ikke bare muntlig avtalt. Inkluder:

• Sikkerhetsstandarder: Hvilke minimumskrav som må oppfylles (MFA, kryptering, backup osv.)
• Hendelsesrapportering: Leverandøren må varsle deg innen X timer ved brudd
• Revisjonsrett: Du har rett til å gjennomgå leverandørens sikkerhet
• Ansvar og erstatning: Hvem er ansvarlig ved brudd?
• Oppsigelsesklausul: Rett til å si opp ved alvorlige sikkerhetsbrudd

5. Begrens tilganger (Least Privilege)

Gi leverandører kun minimalt med tilganger de trenger for å utføre jobben:

• Bruk separate leverandørkontoer (ikke delte admin-kontoer)
• Påkrev MFA for alle eksterne tilganger
• Tidsavgrens tilganger (utløper etter prosjektslutt)
• Overvåk leverandøraktivitet via logging
• Fjern tilganger umiddelbart når samarbeidet avsluttes

6. Overvåk løpende

Leverandørrisiko er ikke en engangsvurdering. Implementer løpende overvåking:

• Årlige sikkerhetsvurderinger av kritiske leverandører
• Abonner på sikkerhetsvarsler fra leverandører
• Overvåk medieomtale om leverandørbrudd
• Gjennomgå tilganger kvartalsvis

7. Ha en beredskapsplan for leverandørbrudd

Hva gjør du hvis en kritisk leverandør hackes? Planlegg på forhånd:

• Identifiser alternative leverandører (backup-leverandører)
• Ha prosedyrer for å kutte leverandørtilganger raskt
• Dokumenter alle leverandøravhengigheter
• Test beredskapsplanen minst årlig

Konklusjon

Forsyningskjedeangrep er blant de raskest voksende cybertruslene, og SMB står i dobbel risiko – både som potensielle ofre og som mellomledd i andres forsyningskjeder.

Med NIS2-direktivet som trer i kraft i 2025, blir det også et lovkrav for mange organisasjoner å sikre at leverandørene deres oppfyller minimumsstandarder for cybersikkerhet.

God leverandørsikkerhet handler om systematisk risikostyring: Kartlegg leverandører, vurder risiko, still krav i kontrakter, begrens tilganger, og overvåk løpende. Dette beskytter ikke bare din bedrift – det kan også være et konkurransefortrinn når kunder krever dokumentasjon på leverandørsikkerhet.

Ikke vent til en leverandør blir din akilleshæl. Kontakt SPADE Consulting for å kartlegge tredjeparts-risiko og etablere et styringsrammeverk som oppfyller NIS2-kravene.

Ofte stilte spørsmål