въпросникът пита как контролираме сигурността на нашите доставчици

Сигурност на веригата на доставки: вашият клиент пита по-нататък за вашите собствени доставчици

Този въпрос касае член 21, параграф 2, буква d на NIS2: сигурност на веригата на доставки, включително отношението с всеки преки доставчик или доставчик на услуги. Вашият клиент така че не само искат да знаят как сте защитени вие сами, но и как го налагате на вашите подизпълнители. Конкретно обикновено се пита дали включвате изисквания за сигурност в договорите, дали оценявате доставчиците предварително и дали периодично проверявате дали те спазват тези изисквания.

Ако още не сте формализирали този процес, честния отговор е, че го правите неформално — например чрез договорни клаузули без структурирана оценка — или че още не го правите. Попълване на "да", защото звучи логично, не помага: ако вашият клиент пита по-нататък за образец на договор или списък на доставчици с оценка на риска, това трябва да съществува. Същият въпрос често се появява в малко по-различна форма, а именно дали предприятието поставя изисквания по киберсигурност на своите собствени доставчици — това е по същество същото изискване, но отделено от договорния въпрос. Следователно е полезно да формулирате един отговор, който можете да преизползвате в няколко списъка.

Откъде идва това: член 21, параграф 2 и Приложение A.5.19-21

Правната база е член 21, параграф 2, буква d на директива NIS2, един от десетте задължителни мерки, посочени там. За холандската практика това се появява отново в Закона за кибербезопасността, транспозицията на NIS2, която влиза в сила на 15 август 2026 — така че въпросът на вашия клиент често предизпълва това, което е задължително за вас самите едва по-късно, освен ако вече не подлягате на директивата чрез определението за субект по NIS2. Който прилага ISO/IEC 27001, признава същото изискване в Приложение A, мерките за контрол под A.5.19 до A.5.21 за отношения с доставчици и изисквания за сигурност, установени в тях. Обата източника питат по същество едно и също: не само да знаете кои са вашите доставчици, но да докажете поддържането на нивото им на сигурност.