Sikr den leverandørkæde, NIS2 gør jer ansvarlige for

Opret leverandøren, tjek den på kriterier I selv sætter, få svarene og dokumenterne ud af den, og vurdér den så som en risiko i jeres NIS2-risikoområde med en handlingsplan med pris på det, der skal ned.

Ubegrænset antal brugere • Gratis onboarding og support • Ingen binding

Se platformen

En leverandørpost i midten af en kortlagt kæde, med et spørgeskemakort på vej ud til den, et dokument på vej tilbage og et beslutningskort med en pris ved siden af

+400 virksomheder bruger .legal

Leverandøroverblikket i .legal filtreret til juridiske enheder af typen databehandler, hvor hver linje har land, de aktiver den ligger bag, et godkendelsesflueben, et NIS2-risikoniveau og et klassificeringsniveau

Sikkerhed i leverandørkæden under NIS2 Meridian vidste, hvem leverandørerne var. De kunne bare ikke sige, hvad de udgjorde af risiko

Anders Krogh er CISO i Meridian Nordic, en energikoncern, der har cirka 1.200 leverandører og databehandlere i drift bag måleplatformen, kundeportalen og arbejdet ude i marken. Som væsentlig enhed under NIS2 står han på mål for den kæde, og den liste, han overtog, fortalte ham, hvem alle var, og ingenting om, hvad nogen af dem kunne gøre ved ham. Nu bliver en leverandør tjekket på Meridians egne kriterier, bedt om præcis de svar og dokumenter Anders har brug for, og derefter vurderet som en risiko i sin egen ret, med en plan og en pris på dem, der betyder noget.

Tjekket sker én gang, på kriterier Meridian selv har sat, og resultatet afgør, hvem der skal kigges hårdest efter.
Leverandørerne svarer og uploader fra deres egen indbakke, så jagten på en certificering holder op med at være en mailtråd.
De leverandører, der ligger bag et kritisk system, kan ses fra systemet selv, underleverandører inklusive.
En leverandørrisiko ender i en beslutning og ikke i en farve: accepter den, undgå den, eller få den ned for en oplyst pris.

Jeres kriterier, ikke vores

Byg det tjek I vil have, vægt det selv, og læs et risikoniveau, der er kommet ud af jeres egne svar.
Ingen login for leverandøren

De svarer og uploader dokumenter fra deres egen indbakke, uden konto og uden at installere noget.
Leverandøren som en risiko

Vurdér selve leverandøren mod konkrete scenarier i et NIS2-risikoområde, med en begrundelse i historikken.
En plan med en pris

Accepter den, undgå den eller få den ned, og sig hvad det forventes at koste at få den ned.

En lang, nøgen liste af leverandørplader uden noget hæftet på nogen af dem, og dokumentationen liggende løst på en plade for sig væk fra listen

Sikkerhed i leverandørkæden under NIS2 En liste over leverandører er ikke sikkerhed i leverandørkæden

Næsten alle har listen. Det, NIS2 spørger til, er, hvad I gjorde ved den, og det er der, arbejdet med leverandørkæden stille og roligt går i stå de fleste steder.

Listen siger, hvem en leverandør er, ikke hvad der ville ske med jer, hvis de gik ned.
Den dokumentation, I har indhentet, ligger på et drev, så ingen kan vise, hvad der blev tjekket, eller hvornår.
Den ene leverandør alle er nervøse for, er som regel den, ingen har dokumenteret, fordi de er for store til at rykke.

En leverandørklassificering ved navn NIS2 classification åbnet i byggeren, med en sektion til risikoniveauer og intervaller, et enkeltvalgs-spørgsmål om hvorvidt leverandøren er kritisk, og kontakter pr. spørgsmål til obligatorisk og vægtning

Sikkerhed i leverandørkæden under NIS2 Beslut hvem der fortjener det grundige tjek

Ikke alle leverandører skal behandles ens, og det bør være jer, der afgør hvem der er hvem. Klassificeringen er et spørgeskema, I selv bygger og selv besvarer om leverandøren, og den giver et risikoniveau tilbage.

Vægt afsnittene, spørgsmålene og hver enkelt svarmulighed, og sæt de intervaller, der gør et sæt svar til et niveau.
Intet bliver scoret for jer, og der sker ingenting af sig selv: niveauet siger, hvem I skal kigge på, I beslutter, hvad de skal have tilsendt.
Læs niveauet frem for tallet. Scoren løber modsat niveauet, og det er lige præcis den slags detalje, det er værd at kende inden den første demo.

Én audit under opsætning i .legal ud fra en databehandler-auditskabelon, med en filtrerbar liste af juridiske enheder hvor flere er markeret til at få det samme spørgeskema, hver med sin egen type, land, kontaktfelt og klassificering

Sikkerhed i leverandørkæden under NIS2 Spørg én gang, og lad dem svare fra indbakken

I designer selv spørgeskemaet: deres sikkerhedsforanstaltninger, deres underleverandører, den certificering I gerne vil have en kopi af. Så sender I det, til én leverandør eller til en hel gruppe på én gang.

Leverandøren skal ikke have en konto. De åbner et link, svarer, uploader det, I har bedt om, og det hele lander på deres post.
En gruppeforsendelse giver hver juridisk enhed sin egen udgave og sin egen kontaktperson, så svarene holdes adskilt, og I kan se, hvem der har åbnet, og hvem der har svaret.
Påmindelser til dem, der ikke svarer, sendes automatisk efter 7, 14 og 21 dage.

Én stor leverandørklods uden nogen kuvert på vej til den, og i stedet et enkelt erklæringsdokument registreret på den

Sikkerhed i leverandørkæden under NIS2 Leverandøren der ikke vil udfylde jeres spørgeskema

Alle sikkerhedsafdelinger har de samme tre-fire af dem: for store til at gide, og for centrale til at droppe. Der findes en vej til det, og den går ikke gennem at sende noget som helst.

Luk tjekket med en revisorerklæring i stedet: upload dokumentet eller registrér et link på leverandøren.
Der sendes ingen mail overhovedet, og leverandørens status viser, at der ligger en erklæring.
Vi binder ikke den vej til en navngiven erklæringsstandard, så hvad der er en god nok erklæring, er fortsat jeres vurdering.

En leverandør vurderet inde i et NIS2-risikoområde i .legal, med sit tilknyttede risikoniveau, sin eksponering i euro og eksponeringen efter mitigering, over ét risikoscenarie med konsekvens, sandsynlighed, risikoniveau og datoen det blev vurderet

Sikkerhed i leverandørkæden under NIS2 Vurdér så leverandøren som en risiko, ikke bare som en post

Det er her, den nyere halvdel af historien ligger. Med tilkøbsmodulet Enterprise Risk Management, er en leverandør en enhed, I vurderer, side om side med processer og aktiver.

Læg leverandøren i et NIS2-risikoområde med egen matrix og appetit, sæt konkrete scenarier på, og angiv konsekvens og sandsynlighed med en begrundelse på hver.
Beslut hvad der så skal ske: accepter risikoen, undgå den ved at stoppe aktiviteten, eller mitigér den med en plan, hvor der står både hvad indsatsen koster, og hvor meget risiko der er tilbage bagefter.
En relationsgraf viser de forbindelser, I allerede har kortlagt mellem jeres enheder, så en arvet risiko er noget, I kan se og følge, i stedet for noget, I går ud fra.

To adskilte målerammer der står side om side over den samme leverandørklods, uden nogen forbindelse tegnet imellem dem

Sikkerhed i leverandørkæden under NIS2 To tjek på den samme leverandør, og de føder ikke hinanden

Det siger vi hellere end at lade jer finde det på en demo. Der er to måder at sætte et tal på en leverandør her, og de er to forskellige mekanikker.

Klassificeringen er jeres eget spørgeskema, besvaret internt, som giver et niveau. Risikovurderingen er scenarier op mod en matrix, i risikotilkøbet. Ingen af dem opdaterer den anden.
Vi laver planen, ikke udfyldningen. Både niveauet og vurderingen kommer ud af vurderinger, I selv har foretaget, ikke ud af noget, vi har regnet ud for jer.
Platformen dokumenterer jeres leverandørkæde, den holder ikke øje med den. Der bliver ikke scannet noget, og der kommer ikke noget ind af sig selv, så der er hverken hændelsesindberetning eller alarmer her.

Leverandøren og kæden bag den

Leverandører ligger som juridiske enheder med deres underleverandører registreret centralt på sig, og en leverandørfane på et aktiv viser, hvem der ligger bag netop det system, underleverandører inklusive.

En klassificering I selv designer

Vægt afsnittene, spørgsmålene og hver enkelt svarmulighed, sæt de intervaller der gør et sæt svar til et risikoniveau, og brug niveauet til at beslutte, hvem der skal kigges hårdest efter.

Ét tjek, mange leverandører

Send det samme spørgeskema til en hel gruppe juridiske enheder på én gang. Hver får sin egen udgave og sin egen kontaktperson, og I følger, hvem der har åbnet, og hvem der har svaret.

Til leverandøren der ikke vil svare

Luk tjekket med en revisorerklæring i stedet. Upload dokumentet eller registrér et link, og leverandørens status viser, at der ligger en erklæring. Der sendes ingen mail til dem overhovedet.

Leverandørrisiko i et NIS2-risikoområde (tilkøb)

Vurdér leverandøren mod konkrete scenarier i et risikoområde med egen matrix og appetit, hvor både konsekvens og sandsynlighed skal begrundes. Det ligger i tilkøbsmodulet Enterprise Risk Management, som kom i august 2026.

Accepter, undgå eller sæt pris på løsningen

Tre navngivne måder at håndtere en leverandørrisiko på: acceptér, undgå eller mitigér. Mitigering er den, der giver en plan, og planen har en pris, I kan lægge foran den, der skal godkende udgiften.

Sikkerhed i leverandørkæden under NIS2 Frameworks dette dækker

Ét regelsæt, og den del af det, denne side handler om.

NIS2

Den sikkerhed i leverandørkæden, en væsentlig enhed skal have styr på: hvilke leverandører der ligger bag jeres ydelser, hvad I har tjekket, hvad de svarede, og hvad I besluttede om risikoen.

Læs om NIS2

Leverandørstyring

Der hvor leverandørerne bor, og audit-motoren bag klassificeringen, spørgeskemaerne og revisorerklærings-vejen.

Udforsk Leverandørstyring

Informationssikkerhed

Der hvor NIS2-rammeværket, dets kontroller og jeres sikkerhedsdokumentation ligger, side om side med leverandørarbejdet på denne side. Enterprise Risk Management, der vurderer selve leverandøren, er et selvstændigt tilkøbsmodul.

Udforsk Informationssikkerhed

Vores kunder

+400

virksomheder

+10.000

brugere

+79.000

kontrakter

+14.000

behandlingsaktiviteter

Bech-Bruun

Mikkel Friis Rossa (Partner)

.legal’s team har konsekvent udvist et engagement i innovation, samtidig med at de har været imødekommende over for vores fælles klienters behov.

Fenerum

Rasmus Boutrup (Financial Controller)

Se case

Med .legal har vi fået en mere simpel og overskuelig løsning, der passer bedre til vores behov

Lægeforeningen

Michael Berner (Advokat)

.legal har været det helt rigtige valg for os. .legal er både professionelle og imødekommende med dygtige medarbejdere.

Molecule Consultancy

Nanna Rodian Christensen ( HR & Operational Manager)

Se case

Det gør for det første, at hele arbejdet ikke ligger et sted (hos mig), og for det andet, at forståelsen for GDPR bliver implementeret ud i organisationen.

Plum Safety

Ulrik Dueholm Beckmann (QC, CM og ESG Lead)

Se case

"Fra .legal oplever vi en utrolig stor grad af fleksibilitet og velvillighed i at tilpasse features efter vores lokale behov."

Bech-Bruun

Mikkel Friis Rossa (Partner)

.legal’s team har konsekvent udvist et engagement i innovation, samtidig med at de har været imødekommende over for vores fælles klienters behov.

Fenerum

Rasmus Boutrup (Financial Controller)

Se case

Med .legal har vi fået en mere simpel og overskuelig løsning, der passer bedre til vores behov

Lægeforeningen

Michael Berner (Advokat)

.legal har været det helt rigtige valg for os. .legal er både professionelle og imødekommende med dygtige medarbejdere.

Molecule Consultancy

Nanna Rodian Christensen ( HR & Operational Manager)

Se case

Det gør for det første, at hele arbejdet ikke ligger et sted (hos mig), og for det andet, at forståelsen for GDPR bliver implementeret ud i organisationen.

Plum Safety

Ulrik Dueholm Beckmann (QC, CM og ESG Lead)

Se case

"Fra .legal oplever vi en utrolig stor grad af fleksibilitet og velvillighed i at tilpasse features efter vores lokale behov."

Novicell

Julie Oxenvad (Legal Consultant)

Se case

Vi er glade for skiftet til .legal – det har styrket vores compliance-arbejde, gjort processerne lettere at håndtere og mere gennemsigtige, samt forbedret samarbejdet på tværs af teams,

Axel Kaufmann ApS

Julie Lundkvist Andreasen (Jurist og kundeservicechef)

Se case

.legal opdaterer løbende platformen for at sikre, at deres kunder altid kan være compliant. I vores øjne ville ethvert andet valg være et skridt tilbage.

DMJX

Kaspar Rocholz (GDPR-koordinator)

Se case

.legal har virkelig forstået, hvad det vil sige at skabe en brugervenlig og effektiv løsning. Privacy er et attraktivt produkt i forhold til pris og funktionalitet.

Min By Media

Tinna Schultz (HR-chef)

Se case

Det fungerer bare! Det er så nemt og brugervenligt, og oversigten over behandlingsaktiviteter, er genial.

NRGi

Mette Mühlendorph (Compliace Specialist)

Se case

Implementeringen af .legal har gjort en forskel i den måde, vi håndterer compliance på. Systemet har skabt struktur og overblik, som har haft konkrete fordele.

Novicell

Julie Oxenvad (Legal Consultant)

Se case

Vi er glade for skiftet til .legal – det har styrket vores compliance-arbejde, gjort processerne lettere at håndtere og mere gennemsigtige, samt forbedret samarbejdet på tværs af teams,

Axel Kaufmann ApS

Julie Lundkvist Andreasen (Jurist og kundeservicechef)

Se case

.legal opdaterer løbende platformen for at sikre, at deres kunder altid kan være compliant. I vores øjne ville ethvert andet valg være et skridt tilbage.

DMJX

Kaspar Rocholz (GDPR-koordinator)

Se case

.legal har virkelig forstået, hvad det vil sige at skabe en brugervenlig og effektiv løsning. Privacy er et attraktivt produkt i forhold til pris og funktionalitet.

Min By Media

Tinna Schultz (HR-chef)

Se case

Det fungerer bare! Det er så nemt og brugervenligt, og oversigten over behandlingsaktiviteter, er genial.

NRGi

Mette Mühlendorph (Compliace Specialist)

Se case

Implementeringen af .legal har gjort en forskel i den måde, vi håndterer compliance på. Systemet har skabt struktur og overblik, som har haft konkrete fordele.

Ofte stillede spørgsmål om sikkerhed i leverandørkæden under NIS2

Hvordan ser sikkerhed i leverandørkæden under NIS2 ud i .legal?

Som et forløb frem for en enkelt funktion. I opretter leverandøren, klassificerer den på kriterier I selv sætter, sender den et spørgeskema og indhenter de dokumenter, I har bedt om, og derefter kan I med tilkøbsmodulet Enterprise Risk Management vurdere selve leverandøren mod konkrete scenarier i et NIS2-risikoområde og beslutte, hvad der skal ske med resultatet. Platformen stiller forløbet op og holder dokumentationen for det. Den fortæller jer ikke, hvilke leverandører der er i scope, og den bedømmer ikke jeres kæde for jer.

Bliv NIS2-klar uden at starte forfra

Hvordan beslutter vi, hvilke leverandører vi skal kigge hårdest efter?

Med en klassificering, I selv designer. I vælger de spørgsmål, der betyder noget for jer, vægter afsnittene, spørgsmålene og hver enkelt svarmulighed, og sætter de procentintervaller, der gør et sæt svar til et risikoniveau. Intet bliver scoret for jer. Én ting er værd at vide inden en demo: scoren løber modsat niveauet, så en højere score betyder en lavere risiko. Derfor taler vi om niveauet og ikke om tallet, og det bør I også.

Selve due diligence-tjekket

Er klassificeringen det samme som risikovurderingen af leverandøren?

Nej, og det er den samling, de fleste finder på deres første demo, så det siger vi hellere her. Klassificeringen er et spørgeskema, I selv har designet og selv besvarer om leverandøren, og den giver et risikoniveau. Risikovurderingen i Enterprise Risk Management er en anden mekanik: leverandøren er en enhed i et risikoområde, vurderet mod konkrete scenarier på en matrix, I selv har sat op. De to ligger side om side, og de føder ikke hinanden. Et klassificeringsniveau bliver ikke til en risikovurdering, og en risikovurdering opdaterer ikke en klassificering.

Skal leverandøren logge ind for at svare os?

Nej. Leverandøren skal aldrig oprettes som bruger. I sætter en kontaktperson på dem og vælger den kontakt, når I sender, og linket lander i vedkommendes egen indbakke. Derfra kan de både besvare spørgsmålene og uploade dokumentationen uden nogen konto overhovedet. Hvordan de internt får samlet svarene, er deres sag, og det, der kommer retur, bliver arkiveret på netop den leverandør.

Kan vi sende det samme tjek til mange leverandører på én gang?

Ja. Ét spørgeskema går ud til en hel gruppe juridiske enheder i én forsendelse, og hver enkelt får stadig sin egen udgave med sin egen kontaktperson, så svarene holdes adskilt pr. leverandør. I kan se, hvor mange der har åbnet, og hvor mange der har svaret. Påmindelser til dem, der ikke har svaret, sendes automatisk efter 7, 14 og 21 dage, og den kadence ligger fast frem for at være noget, I selv sætter.

Vores største leverandører nægter at udfylde vores spørgeskema. Hvad så?

I lukker tjekket med en revisorerklæring i stedet for at sende noget. Enten udelader I leverandøren fra forsendelsen med revisorerklæringen som årsag og uploader dokumentet, som så også ligger under leverandørens dokumenter, eller I registrerer det direkte fra leverandørens auditfane med en ansvarlig og et dokument eller et link. Der går ingen mail til leverandøren, og statussen viser, at der ligger en erklæring. Vi binder ikke den vej til nogen navngiven erklæringsstandard, så hvad erklæringen skal være, er jeres vurdering.

Kan vi risikovurdere en leverandør, eller kun dokumentere den?

I kan vurdere den. Leverandører er en af de enhedstyper, Enterprise Risk Management vurderer, sammen med processer og aktiver, så en leverandør vurderes direkte i stedet for kun at arve risiko fra et system, den ligger bag. I bestemmer selv, hvilke enheder der overhovedet kommer ind i et risikoområde, og derefter lægger I scenarier på leverandøren og angiver konsekvens og sandsynlighed med en begrundelse på hver. Enterprise Risk Management er et selvstændigt tilkøbsmodul, som udkom den 14. august 2026, og det lægger sig ved siden af den risikovurdering, I måske allerede bruger, frem for at erstatte den.

Kan vi se, hvilke leverandører der ligger bag et kritisk system?

Ja. Hvert aktiv har en leverandørfane, der viser de juridiske enheder, der er knyttet til det, underleverandører inklusive, og underleverandører registreres centralt på selve leverandøren i stedet for at blive skrevet ind igen alle de steder, den bruges. Med risikotilkøbet er der desuden en relationsgraf, og læst fra leverandørens side viser den de samme forbindelser den anden vej: hvilke systemer og processer en given leverandør ligger bag, så rækkevidden af én leverandørs risiko er noget, I rent faktisk kan se.

Hvis en leverandør har en hændelse, indberetter .legal den så for os?

Nej, og det er bedre at høre det her end at opdage det senere. Der er ingen indberetning til en myndighed i platformen, ingen lovbestemte frister og ingen form for indsendelse. Det, I får, er dokumentationen: hvad I vidste om leverandøren, hvornår I tjekkede den, hvad den svarede, hvordan I vurderede den, og hvad I besluttede at gøre. Vi laver planen, ikke udfyldningen. Platformen dokumenterer jeres leverandørkæde, den overvåger den ikke, så det er ikke et opdagelsesværktøj af nogen art.

Én hændelseslog til både GDPR og NIS2