Leverantörskartan. Ett signerat protokoll över leverantörskedjans utsida.

1. Ett

   Leverantörsregistret, verifierat

   Er lista görs om till en karta över vad varje leverantör faktiskt är på internet. Bolag knyts till domäner, subdomäner, adressblock, ASN och molntenanter, med källa för varje koppling ur Bolagsverket, DNS, CT-loggar och RDAP. Dotterbolag, förvärv och bortglömda domäner läggs till, dubbletter tas bort. Registret är kartans grund och det första en tillsynsmyndighet frågar efter.

2. Två

   Utsidan per leverantör

   Hela Del A där den går att observera utifrån, samma sjutton externa kontroller som i protokollet, med utfall, styrka, källa och tidsstämpel per rad, för varje leverantörs alla domäner och adresser. Kritiska leverantörer får fördjupad granskning där varje rad kontrolleras manuellt, versioner matchas mot CISA KEV och läckta konton söks. Varje leverantör får ett eget osignerat protokollutdrag som ni kan skicka till den.

3. Tre

   Fjärdepartsbilden

   Vilka hosting-, DNS-, e-post-, identitets- och driftleverantörer era leverantörer i sin tur vilar på, hur många av dem som skulle drabbas av ett avbrott hos en och samma part, och hur dessa fjärde parters egen utsida ser ut. Det är beroendena som ingen leverantör själv redovisar och som 4 kap 2 § kräver att ni beaktar.

   

4. Fyra

   Prioriteringen

   Er klassning av vilka leverantörer som hanterar känsliga system eller uppgifter läggs mot antalet avvikelser med direkt evidens och koncentrationerna i fjärdepartsbilden. Resultatet är tre grupper, inte en poäng. Åtgärd före nästa avtalsförnyelse, signerat protokoll, eller bevakning. Varje placering har en skriven motivering.

5. Fem

   Sammanfattningen till ledning och tillsyn

   En signerad sammanfattning som beskriver omfång, metod, vad som gick att observera och inte, de största avvikelserna, koncentrationerna och vilka leverantörer som bör lämna fullständiga protokoll. Skriven för att er samordnare ska kunna lägga den direkt på ledningens bord enligt 3 kap 6 § allmänna råd och visa den för tillsynen som dokumentation av leverantörskedjearbetet.

• Underlag till riskanalysen och åtgärdsplanen i 3 kap 12 och 13 §§.
• Ledningsrapport enligt 3 kap 6 § allmänna råd.
• Avtalsarbete, där Kravpaketet talar om vilken leverantör som ska ha vilken klausul och vilka som ska lämna protokoll.
• Tillsyn, där kartan kan användas som underlag. Tillsynsmyndigheten bestämmer omfattningen enligt MCFFS 2026:12 3 kap 7 § och kan granska fler system och underlag än den externa kontrollen omfattar.

1. Vecka 1Uppstart med samordnare och inköp, två timmar. Klassning av leverantörer, registret byggs och verifieras.
2. Vecka 2Körning på nivå 0 och 1 för samtliga, granskning rad för rad, fördjupning av kritiska.
3. Vecka 3Fjärdepartsbild, prioritering, skrivning, signering, genomgång med samordnaren. Trettio dagars frågerätt därefter.

• Signerad sammanfattning som PDF.
• Leverantörsregistret som kalkylblad med källa per rad.
• Ett protokollutdrag per leverantör som PDF.
• Fjärdepartsbilden som bild och tabell.
• Prioriteringslistan med motivering per leverantör.
• Kravpaketet, med de domäner, adresser och tjänster som ingår i omfånget.
• Maskinläsbar export för ert GRC-verktyg.
• En timmes genomgång med samordnaren.

Allt hänvisar till samma version av Kontrollkatalogen och kan köras om efter tolv månader till halva grundavgiften.

• Kontaktar inga leverantörer om ni inte ber om det.
• Läser inga leverantörsdokument, det är de kritiska protokollens jobb.
• Innehåller ingen Del B.
• Sätter inga poäng.
• Rör inga system.
• Ersätter inte juridisk rådgivning om avtalen, klausulerna är mallar.