Nya cybersäkerhetskrav i Addas upphandlingar

I en tidigare artikel i Inköpsrådet beskrev Adda hur de nya reglerna ställer krav på upphandlare. Nu har vi tagit nästa steg. 

Den första oktober började Myndigheten för civilt försvars senaste föreskrifter att gälla, som innehåller krav på säkerhetsåtgärder. De har föranlett Adda att införa nya cybersäkerhetskrav i våra upphandlingar. Arbetet har skett i högt tempo, eftersom kommuner och regioner behöver kunna möta de nya skyldigheterna.

Villkoren är framtagna för att skapa en gemensam avtalsmässig grund. De omfattar bland annat leverantörens ansvar att bedöma och dokumentera om verksamheten omfattas av cybersäkerhetslagen och, i förekommande fall, andra regleringar såsom lagen om motståndskraft hos kritiska verksamhetsutövare som planeras träda i kraft vid årsskiftet. Leverantören ska också kunna styrka sin bedömning och hålla uppgifterna aktuella under avtalstiden. Vidare ställs krav på incidenthantering, insyn, uppföljning och revision. 

Leveranskedjan blir en del av upphandlingen
En viktig förändring med cybersäkerhetslagen är att leveranskedjan får större betydelse. Det räcker inte att titta enbart på huvudleverantören. Tjänster till kommuner och regioner levereras ofta genom flera led: molntjänster, driftmiljöer, supportfunktioner, integrationsplattformar, konsulter och underleverantörer. 

En vanlig missuppfattning är att de nya kraven på leveranskedjesäkerhet enbart aktualiseras vid sådana digitala tjänster. Så är dock inte är fallet. Även stödtjänster som används av en leverantör i sitt upphandlade uppdrag kan omfattas. Det beror på att stödtjänsten kan påverka kommunens eller regionens förmåga att fullgöra sitt samhällsviktiga uppdrag om leverantören drabbas av en incident. Addas nya villkor och arbetssätt tar höjd för detta och omfattar även underleverantörer som medverkar i leveransen, i den mån de är kritiska för upphandlingen.

En annan viktig utgångspunkt är att utkontraktering inte tar bort den upphandlande myndighetens ansvar. Cybersäkerhets- och rapporteringsskyldigheterna gäller oavsett om system hanteras internt eller har lagts ut på entreprenad. För att offentlig sektor ska kunna leva upp till sina skyldigheter måste avtalen ge tillräcklig insyn i de leveranser som verksamheten faktiskt är beroende av.

Uppföljningsbara krav – inte bara goda ambitioner
Många upphandlingar har länge innehållit krav på informationssäkerhet. Utmaningen har ofta varit att kraven inte varit tillräckligt konkreta och därmed svåra att följa upp. Det är en sak att skriva att leverantören ska ha god informationssäkerhet. Det är en annan sak att kunna kontrollera att så är fallet under avtalstiden.

De nya villkoren ger Adda Inköpscentral och avropsberättigade organisationer rätt att under hela avtalstiden följa upp leverantörens efterlevnad av cybersäkerhetskraven. Det kan man göra själv eller genom ombud. Leverantören ska på begäran lämna den dokumentation, information och de granskningsunderlag som behövs för att vi ska kunna kontrollera efterlevnaden. Villkoren gör det också möjligt att samordna uppföljningen när flera upphandlande myndigheter berörs.

Samtidigt pågår SKR:s kraftsamling kring cybersäkerhet, där Adda bidrar med både upphandlingsexpertis och juriststöd. Resultatet av det arbetet kan komma att påverka hur uppföljning, samordning och stöd till kommuner och regioner bör utformas framåt. Därför har villkoren tagits fram utifrån befintliga förutsättningar och med sikte på framtiden.

En del av Europas digitala decennium
Arbetet ska ses i ett större sammanhang. Europas digitala decennium handlar om tillit, robusthet och säkerhet i digital infrastruktur. Kommuner och regioner är centrala i den utvecklingen genom att ansvara för samhällsviktiga tjänster och hantera stora mängder känslig information.

Omvärldsläget har också förändrats. Cyberangrepp, ransomware, påverkansoperationer och störningar i digitala leveranskedjor är inte längre avlägsna risker. De är en del av den vardag som offentlig sektor möter varje dag. Här har upphandlingen en nyckelroll och kan bidra till Europas säkerhet. Offentlig sektor i EU är en stor beställare. Tydligare krav påverkar leverantörernas incitament att bygga in säkerhet och få bättre koll på sina underleverantörer.

Utvecklingen som Adda bedriver ska också ses mot bakgrund av förslaget till ny upphandlingsförordning. Vi anar bättre möjligheter att arbeta mer strategiskt med kravställning och uppföljning av samhällsviktiga hänsyn. Det kan bli särskilt betydelsefullt för cybersäkerhetsområdet.

Marknaden behöver vara med
De nya villkoren innebär inte att allt arbete är färdigt. Snarare markerar de början på en mer systematisk kravställning. Nästa steg handlar inte bara om hur offentlig sektor arbetar, utan om den gemensamma förflyttning som beställare och leverantörer gör.

Leverantörer som vill sälja till offentlig sektor behöver förstå att cybersäkerhetskrav inte är ett tillval. Kommuner och regioner har lagstadgade skyldigheter enligt cybersäkerhetsbestämmelserna. För att kunna uppfylla dem måste de ställa krav på sina leverantörer och kunna följa upp att kraven efterlevs. Annars går ansvaret inte att bära i praktiken.

Det betyder inte att alla leverantörer ska mötas av samma krav i alla upphandlingar. Men det betyder att marknaden behöver vara beredd på tydligare krav, mer dokumentation, bättre incidentrapportering och ökad uppföljning. Offentlig sektor och leverantörsmarknaden behöver hjälpas åt. Med de nya villkoren tar Adda ett första steg i riktning mot att realisera det samarbetet.