Leverantörskedjesäkerhet är ett av de uttryckliga kraven i NIS2:s artikel 21. Omfattade organisationer måste beakta cybersäkerhetsrisker som uppstår genom sina direkta leverantörer och tjänsteleverantörer, och väga in leverantörernas säkerhetsnivå i sina egna riskbedömningar. Effekten är att kravet sprids nedåt i kedjan: en underleverantör som inte själv omfattas direkt av NIS2 kan ändå tvingas höja sin säkerhet för att behålla kunder som omfattas.

På EU-nivå kan samordnade riskbedömningar peka ut kritiska ICT-leverantörer. För mindre svenska aktörer betyder det att de i praktiken möter NIS2-krav via avtal, även utan att vara direkt reglerade.