Leverantörsrisk är inte längre bara en IT-fråga
Tillverkningsindustrin är i dag den mest attackerade branschen i världen, och majoriteten av intrången kommer inte via det egna nätverket utan via en leverantör eller underleverantör.
Sedan den 15 januari 2026 är det dessutom lag på att bolag ska säkerställa att deras leverantörer lever upp till grundläggande cybersäkerhetskrav.
För inköpsfunktionen är det inte längre en fråga för IT-avdelningen att lösa på egen hand.
Varför är just tillverkningsindustrin mest utsatt?
Tillverkning är den mest attackerade sektorn globalt, enligt IBM:s X-Force Threat Intelligence Index.
Enligt Dragos industribenchmark var mer än hälften av alla observerade ransomware-offer inom industriell verksamhet just tillverkningsbolag, vilket gör branschen till den mest drabbade inom industriella ransomware-incidenter.
80 ransomware-grupper riktade in sig på industriella organisationer under 2024, en ökning med 60 procent jämfört med året innan, enligt samma källa.
Hur stor roll spelar leverantörer och underleverantörer i intrången?
Det här är kärnan i problemet. Enligt Verizons Data Breach Investigations Report involverade 61 procent av alla dataintrång mot tillverkningsbolag en tredje part, sammanställt av DeepStrike.
En Ponemon-undersökning visar att 42 procent av tillverkare har drabbats av ett intrång via tredjeparts- eller leverantörsåtkomst, samtidigt som 54 procent av tillverkarna inte granskar leverantörers säkerhet innan de ger dem systemåtkomst.
Supply chain-attacker har ökat med 431 procent sedan 2021, enligt Cowbell. Bilden är tydlig: den egna organisationens säkerhet spelar mindre roll om leverantörens inte håller samma nivå.
Vad innebär cybersäkerhetslagen konkret för svenska bolag?
Cybersäkerhetslagen (2025:1506), som implementerar EU:s NIS2-direktiv, trädde i kraft den 15 januari 2026 och ersatte den tidigare svenska NIS-lagen.
Lagen omfattar bolag med minst 50 anställda eller en årsomsättning över 10 miljoner euro, inom någon av 18 utpekade kritiska sektorer. Tillverkningsindustrin är en av de sektorer som uttryckligen listas.
Kan vårt bolag omfattas även om vi är mindre än gränsvärdena?
Ja. Mindre bolag kan omfattas ändå om de tillhandahåller en kritisk tjänst, eller om de är en kritisk underleverantör till ett bolag som redan omfattas av lagen.
Det innebär i praktiken att kravet kan drabba er även om ni själva aldrig läser det som er lag, bara för att en kund eller partner högre upp i kedjan är skyldig att säkerställa att ni håller måttet.
Vilka krav ställer lagen specifikt på leverantörskedjan?
Bolag som omfattas måste säkerställa att externa parter, leverantörer och underleverantörer uppfyller relevanta säkerhetskrav.
Det går inte att avtala bort ansvaret genom att lägga över det på leverantören i ett kontrakt.
Straffavgifterna vid bristande efterlevnad är höga: upp till 10 miljoner euro eller 2 procent av global omsättning för de mest kritiska verksamheterna, och upp till 7 miljoner euro eller 1,4 procent för övriga.
Vad kostar det när en leverantör blir intrångsvägen?
Enligt IBM:s Cost of a Data Breach-rapport ligger det globala snittet för ett dataintrång på 4,44 miljoner dollar, och rapporten pekar specifikt ut att kostnaden eskalerar när en leverantör är inblandad.
Enligt Verizons DBIR har andelen intrång som involverar en tredje part fördubblats på ett år, från 15 till 30 procent. IBM X-Force noterar att stora leverantörskedjeintrång nästan har fyrdubblats sedan 2020.
Checklista: sex åtgärder för att säkra leverantörskedjan
- Kartlägg vilka leverantörer och underleverantörer som har systemåtkomst till er verksamhet, inte bara vilka ni köper varor av.
- Ta reda på om ert bolag omfattas av cybersäkerhetslagen direkt, eller indirekt som kritisk underleverantör till någon som gör det.
- Bygg in säkerhetskrav i leverantörsavtal, inte som en engångskontroll utan som en löpande granskning.
- Sluta förlita er enbart på manuella metoder som telefonsamtal och mejl för leverantörsuppföljning, det är fortfarande vanligast men svårast att skala.
- Prioritera vetting av nya leverantörer innan systemåtkomst ges, inte efter.
- Se över om teamet har kompetensen att bedöma leverantörsrisk, inte bara förhandla pris och leveranstid.
Varför är det här en kompetensfråga för inköp?
Traditionell inköpskompetens är byggd kring pris, kvalitet och leveranssäkerhet. Leverantörsriskbedömning ur ett säkerhetsperspektiv är en annan färdighet, och den möts nu i samma roll.
Vi på Gazella Supply Chain ser att bolag i allt högre grad efterfrågar inköpsprofiler som kan föra en informerad dialog om leverantörens säkerhetsnivå, inte bara dess pris och kapacitet.
Det är precis den kombinationen vårt nätverk av kartlagda kandidater är byggt för att hitta.
Vanliga frågor om NIS2 och leverantörsrisk
- Omfattas vårt bolag av cybersäkerhetslagen om vi har färre än 50 anställda? Normalt inte, men ni kan ändå omfattas om ni är en kritisk underleverantör till ett bolag som täcks av lagen, eller om ni tillhandahåller en kritisk tjänst.
- Räcker det att kräva att leverantören skriver under ett avtal om säkerhet? Nej. Ansvaret för att säkerställa att externa parter uppfyller kraven ligger kvar hos er, och kan inte avtalas bort helt genom ett leverantörskontrakt.
- Vad är skillnaden på väsentliga och viktiga entiteter i lagen? Väsentliga entiteter, till exempel energi och transport, granskas mer intensivt. Viktiga entiteter, där tillverkning ingår, har något lägre tillsynsnivå men omfattas av samma grundkrav och liknande, om något lägre, sanktionsnivåer.
- Varför är tillverkning särskilt utsatt jämfört med andra branscher? En kombination av stor spridning av leverantörer och underleverantörer, äldre driftsystem (OT) som är svårare att uppdatera, och höga krav på kontinuerlig drift som gör tillverkare till attraktiva mål för utpressning.
- Hur snabbt upptäcks ett leverantörsrelaterat intrång i genomsnitt? Leverantörskedjeintrång tillhör de intrång som tar längst tid att upptäcka och begränsa av alla brottstyper som mäts i IBM:s årliga rapport, vilket förlänger både skada och kostnad.
Vill ni stärka kompetensen för att hantera leverantörsrisk?
Att möta kraven i cybersäkerhetslagen börjar med rätt kompetens i inköpsteamet, inte bara i IT.
Hör av er till Gazella Supply Chain för ett samtal om hur er organisation ligger till.
Källor
DeepStrike, "Manufacturing Cybersecurity Statistics 2026: OT Risk & Ransomware" med statistik ursprungligen från Dragos, Ponemon, Verizon, Sophos och Cowbell.
DeepStrike, "Third-Party Risk Statistics 2026: Vendor & Supply Chain Risk" med statistik ursprungligen från Verizon DBIR 2025 och IBM Cost of a Data Breach 2025.
BG Institute, "NIS2-direktivet i Sverige - Guide till cybersäkerhetslagen (2026)".
Sveriges riksdag, "Cybersäkerhetslag (2025:1506)".
