Begynd med at afklare, om kunden eller leverandøren er omfattet af NIS 2-reglerne, og hvilken sektorregulering der gælder. En erklæring om ”NIS 2-compliance” er ikke i sig selv tilstrækkelig dokumentation for relevante foranstaltninger.

Bed om en afgrænset beskrivelse af ansvar, risikovurdering, hændelseshåndtering og styring af leverandørkæden, når det er relevant for leverancen. Efterspørg beviser for faktisk anvendelse, eksempelvis øvelser og opfølgning på mangler. Aftal opdatering ved væsentlige ændringer. Dokumentationskravene bør følge risikoen og må ikke forveksles med en generel certificeringsordning.

Kilder og faglig baggrund: SAMSIK: NIS 2