Hvorfor kundene dine stiller nye krav til IT-sikkerhet

Sikkerhetsdirektivet endrer forventningene til virksomheter som omfattes av regelverket.

Konsekvensen er at stadig flere leverandører blir bedt om å dokumentere hvordan de arbeider med IT-sikkerhet, også virksomheter som ikke omfattes direkte.

For få år siden var IT-sikkerhet først og fremst et spørsmål om å beskytte virksomheten mot dataangrep. I dag handler det om noe mer.

Når virksomheter velger nye leverandører, vurderer de i økende grad også hvordan leverandøren arbeider med informasjonssikkerhet. Ikke fordi de er spesielt opptatt av teknologi, men fordi de ønsker å redusere risikoen i egen virksomhet.

For mange små og mellomstore bedrifter betyr det at god IT-sikkerhet ikke lenger bare er et internt IT-anliggende. Den har blitt en del av virksomhetens konkurransekraft.

Sikkerhetsdirektivet påvirker flere enn de fleste tror

Mange tenker at Sikkerhetsdirektivet bare gjelder de største virksomhetene og samfunnskritiske sektorer. Virkeligheten er mer nyansert.

Virksomheter som omfattes av direktivet forventes å ha kontroll på risikoen i hele leverandørkjeden. Derfor blir IT-sikkerhet i stadig større grad en del av vurderingen når de velger nye leverandører og samarbeidspartnere.

Det betyr at også virksomheter som ikke omfattes direkte av regelverket kan bli møtt med nye forventninger. Dersom kundene dine omfattes av Sikkerhetsdirektivet, er det naturlig at de også stiller høyere krav til sine leverandører.

Når kundene begynner å spørre

For få år siden var pris, kvalitet og leveringsevne ofte de viktigste kriteriene når virksomheter skulle kjøpe varer eller tjenester fra en ny leverandør, uavhengig av om de skulle kjøpe entreprenørtjenester, regnskapstjenester, rådgivning, transport eller IT-tjenester.

I dag ser vi at vurderingen blir bredere.

Stadig flere virksomheter ønsker også å forstå hvordan leverandøren arbeider med IT-sikkerhet. Spørsmålene handler ikke om hvilken bransje leverandøren tilhører, men om hvorvidt virksomheten er en trygg samarbeidspartner.

Typiske spørsmål kan være:

• Hvordan beskytter dere brukernes identiteter?
• Benytter dere multifaktorautentisering?
• Hvordan sikrer dere Microsoft 365-miljøet?
• Har dere kontinuerlig overvåkning av sikkerhetshendelser?
• Hvordan håndterer dere sårbarheter og sikkerhetsoppdateringer?
• Hva skjer dersom dere blir utsatt for et dataangrep?

Dette er ikke lenger spørsmål som bare kommer fra kundens IT-avdeling. Stadig oftere stilles de av innkjøpere, prosjektledere og ledelsen, personer som har ansvar for å redusere virksomhetens risiko når nye leverandører skal velges.

-

«For få år siden var god IT-sikkerhet først og fremst en intern oppgave. I dag er den også blitt en del av virksomhetens konkurransekraft. Det er den endringen vi ser tydeligst hos kundene våre. Stadig flere blir bedt om å dokumentere hvordan de arbeider med informasjonssikkerhet – ikke fordi de selger IT, men fordi kundene ønsker trygghet for at de velger en leverandør som har kontroll på egne digitale risikoer.»

Tor Erik Aagedal
Business Manager / COO, Sodvin AS

-

Hvorfor blir dette viktig?

Et dataangrep hos én leverandør kan få store konsekvenser for virksomheten som kjøper varer eller tjenester. Derfor ønsker stadig flere virksomheter å vite hvordan leverandørene arbeider med informasjonssikkerhet før de inngår et samarbeid.

Det handler ikke nødvendigvis om å ha de mest avanserte sikkerhetsløsningene. Det handler om å kunne dokumentere at virksomheten arbeider systematisk med sikkerhet, beskytter digitale identiteter, følger opp sikkerhetsoppdateringer, overvåker kritiske systemer og har en plan dersom en sikkerhetshendelse oppstår.

Kort sagt ønsker kundene trygghet for at de ikke påtar seg unødvendig risiko ved å velge nettopp din virksomhet som leverandør.

Hva betyr dette for din virksomhet?

Utviklingen betyr ikke at alle virksomheter må investere i avanserte sikkerhetsløsninger over natten, men den betyr at det er klokt å være forberedt.

Spør gjerne dere selv:

• Har vi oversikt over våre viktigste digitale risikoer?
• Kan vi dokumentere hvordan vi beskytter brukere, data og systemer?
• Har vi rutiner for å oppdage og håndtere sikkerhetshendelser?
• Er informasjonssikkerhet en del av virksomhetens ledelsesarbeid?

For mange virksomheter er dette et godt sted å starte.

En utvikling vi ser hos stadig flere virksomheter

Hos Sodvin opplever vi at samtalene med både eksisterende og nye kunder har endret karakter de siste årene.

Tidligere handlet de ofte om hvilke sikkerhetsprodukter virksomheten burde investere i. I dag handler de langt oftere om hvordan virksomheten kan dokumentere at den har kontroll. Vi ser også at flere kunder blir bedt om å beskrive hvordan de beskytter Microsoft 365, sikrer digitale identiteter og håndterer sikkerhetshendelser – allerede som en del av leverandørvurderingen.

Det bekrefter en utvikling vi tror vil fortsette. Sikkerhetskrav blir en stadig mer naturlig del av leverandørvurderinger, anbudsprosesser og samarbeidsavtaler. Virksomheter som starter dette arbeidet tidlig, vil derfor stå sterkere, både mot dataangrep og i konkurransen om nye kunder.

Er virksomheten forberedt?

God IT-sikkerhet handler fortsatt om å beskytte virksomheten mot digitale trusler. Men den handler også om noe mer: å bygge tillit.

Når kundene vurderer nye leverandører, ønsker de trygghet for at virksomheten de velger har kontroll på egne digitale risikoer.

Er du usikker på hvor din virksomhet står i dag, kan en kartlegging være et godt første steg. Hos Sodvin hjelper vi virksomheter med å få oversikt over dagens sikkerhetsnivå, identifisere risiko og prioritere tiltak som styrker både informasjonssikkerheten og virksomhetens konkurransekraft.