Leverantörsberoenden och NIS2-efterlevnad i energisektorn : En kvalitativ fallstudie av NIS2-krav i leverantörskedjan, organisatoriskt handlingsutrymme och kontinuitetsförmåga

Sammanfattning

EU-direktivet NIS2 (Network and Information Security Directive 2) som implementerats i svensk rätt genom cybersäkerhetslagen, ställer skärpta krav på säkerhet i leverantörskedjan för organisationer i samhällskritiska sektorer. För energibolag som är beroende av externa IT-leverantörer innebär detta att säkerhetsarbetet inte kan begränsas till den egna verksamheten utan behöver omfatta även de system och tjänster som tillhandahålls av externa aktörer. Denna studie undersöker hur ett svenskt energibolag arbetar med säkerhet i sin IT-leverantörskedja i förhållande till NIS2-direktivets krav. Studien utgår från två delfrågor: hur organisationen operationaliserar kraven på risk- och incidenthantering, incidentrapportering och kontinuitet, samt hur leverantörsberoenden påverkar förmågan att efterleva kravet på kontinuitet. Studien genomfördes som en kvalitativ fallstudie med triangulering mellan fjorton interna styrdokument och semistrukturerade intervjuer med fem respondenter. Analysen baseras på pattern matching mot ett teoretiskt ramverk med elva propositioner grundade i NIS2-direktivet och tidigare forskning om vendor lock-in, exit-readiness och digital suveränitet. Resultaten visar att organisationen befinner sig i en övergångsfas där nya strukturer byggs aktivt men inte når befintliga leverantörsrelationer. Fyra mönster framträder: en tidsdimension där ett affärskritiskt system regleras av ett avtal från 2016 utan säkerhetskrav som gäller till 2028, ett personberoende där den mest systematiska leverantörsuppföljningen var bunden till en person som sedan bytt roll, en kontrast mellan de två systemen där det ena genomgått omfattande kravställning medan det andras systemägare saknar insyn i grundläggande säkerhetsfrågor, samt en kontrast mellan formell implementation och praktisk implementation. Studien bidrar till den empiriska kunskapsbasen om NIS2-implementation genom att visa att efterlevnad varierar inom en organisation beroende på enskilda leverantörer, och att personberoende utgör en underskattad mekanism som begränsar uthålligheten i säkerhetsarbetet.