Säkerhet ska in i upphandlingen: säkerhetskrav, SBOM-krav, patchåtaganden och support-livslängd — inte som eftertanke.