Säkerhetsfrågor från kunden: svara som säljare

Den som säljer till energibolag, transportföretag, banker, vårdgivare eller kommuner har märkt skillnaden det senaste året. Cybersäkerhetslagen trädde i kraft den 15 januari 2026 och ersatte 2018 års lag om informationssäkerhet för samhällsviktiga och digitala tjänster; den genomför EU:s NIS2-direktiv. Enligt lagens andra kapitel ska verksamhetsutövarnas säkerhetsåtgärder utgå från ett allriskperspektiv och åtminstone omfatta riskanalys, incidenthantering, kontinuitetshantering och, som fjärde punkt, säkerhet i leveranskedjan. Myndigheten för civilt försvar, som samordnar lagen, anger att verksamhetsutövarna finns i 18 sektorer och att storleken bedöms utifrån antal anställda eller omsättning, med små företag och mikroföretag undantagna som huvudregel. Enligt myndighetens tidsplan skulle föreskrifterna om säkerhetsåtgärder och ledningens utbildning dessutom träda i kraft den 1 oktober 2026. Kort sagt: din kund måste kunna visa att den granskat dig. Det här är en redaktionell genomgång, inte juridisk rådgivning.

Vad lagen kräver av din kund, och därför av dig

Kraven riktar sig till kunden, inte till dig som leverantör, men effekten hamnar hos dig. En verksamhetsutövare som ska kunna visa säkerhet i leveranskedjan behöver dokumentation från sina leverantörer, och den enklaste formen av dokumentation är ett formulär du fyller i. För banker och försäkringsbolag finns dessutom EU:s förordning om digital operativ motståndskraft, Dora, som Finansinspektionen tillämpar sedan den 17 januari 2025 med särskilda regler om risker hos tredjepartsleverantörer av it-tjänster. RAIN Group mätte 2026 att 48,4 procent av säljorganisationerna sett sina säljcykler bli längre. Säkerhetsgranskningen är en av anledningarna, och den går inte att förhandla bort. Den går bara att förbereda. En bra början är att fråga kunden vilken sektorsmyndighet som utövar tillsyn över den; Myndigheten för civilt försvar nämner bland andra Energimyndigheten för energi, Transportstyrelsen för transporter, Finansinspektionen för finans, IVO för vårdgivare och PTS för digital infrastruktur. Svaret säger dig vilka krav som kommer att ställas vidare på dig, och visar kunden att du har läst lagen.

Formulären du kommer att möta

• Kundens eget formulär, byggt på ISO/IEC 27001, den internationella standarden för ledningssystem för informationssäkerhet. Frågorna följer standardens områden: styrning, behörigheter, kryptering, drift, leverantörer, incidenter.
• CAIQ från Cloud Security Alliance, ett standardiserat frågeformulär för molntjänster; en självdeklaration enligt CAIQ är också första nivån i CSA:s STAR-register, dit leverantörer kan skicka in sin bedömning i förväg.
• SIG från Shared Assessments, ett omfattande frågebibliotek för tredjepartsrisk som stora bolag och finansiella aktörer ofta använder.
• Kortversionen: tio till tjugo frågor från en it-chef som vill veta var datan lagras, vem som kommer åt den, hur den krypteras, vad som händer vid incident och vilka underleverantörer ni använder.

Förbered en säkerhetssida innan frågan kommer

Det mesta i varje formulär går att besvara i förväg, en gång, i ett dokument på en sida som säljaren kan skicka samma dag. Innehållet: var datan lagras och i vilket land, kryptering under överföring och i vila, hur behörigheter styrs och loggas, rutinen vid incident med tidsgränser, listan över underleverantörer, vilka certifieringar eller revisionsrapporter som finns, hur säkerhetskopior och återställning fungerar, när det senaste penetrationstestet gjordes, och att ett personuppgiftsbiträdesavtal finns klart. Skriv också vad ni inte har. Ett saknat ISO-certifikat som redovisas öppet med en plan är ett svar; ett formulär där rutan lämnats tom är en varningsflagga.

Så svarar du live utan att lova för mycket

När frågan kommer i mötet gäller tre regler. Den första: gissa aldrig. Ett felaktigt ja om kryptering upptäcks i granskningen, och då är trovärdigheten i hela affären borta. Den andra: ta med frågan, med datum. 'Det vill jag svara exakt på, så jag tar det med vår it-ansvarige och återkommer på torsdag' är ett bättre svar än ett ungefärligt ja. Den tredje: skilj på vad som finns i dag och vad som är planerat, och säg vilket som är vilket. Ta med it-ansvarig till det andra mötet i stället för att förmedla frågor fram och tillbaka, och behandla säkerhetsgranskningen som ett eget steg i affären med en ägare hos kunden och ett datum för när den ska vara klar.

Fem fel som förlänger säljcykeln

• Formuläret upptäcks i november och besvaras i januari, eftersom ingen frågade i september om kunden har en leverantörsgranskning.
• Säljaren fyller i formuläret själv, utan it, och svaren måste göras om när kundens säkerhetsansvarige ställer följdfrågor.
• Svaren skiljer sig från förra kundens, eftersom det inte finns en säkerhetssida som alla utgår från.
• Ett ja där det skulle stått 'inte ännu', som kunden hittar i granskningen och som sedan färgar allt annat ni sagt.
• Svaret på var datan lagras är 'i molnet'. Kunden vill ha land, leverantör och underbiträden; utan det stannar granskningen tills någon tagit reda på det.

Öva frågorna du inte kan svara på

Säkerhetsfrågorna kommer sällan i ett lugnt mejl. De kommer från en it-chef mitt i presentationen, med en ton som testar om du vet vad du pratar om. Det svar som fungerar, ärligt, konkret och med ett datum, sitter i rösten och kräver övning. I Salesprep kan du presentera för en AI-publik som avbryter med precis den sortens frågor, och betygsätts på bland annat frågehantering och återhämtning efter avbrott; presentationsmodulen ingår i Team Pro. Cold call-modulen med tre gratis samtal ingår i alla planer.