Списъкът пита как управляваме рисковете от нашите доставчици

Сигурността на веригата е една от десетте задължителни мерки

Това не е просто допълнителен въпрос: сигурността на веригата на доставки е посочена като отделен раздел в член 21, параграф 2 на NIS2, наред с другите девет мерки, като анализ на риска, управление на инциденти и контрол на достъпа. Клиентът, който задава този въпрос, проверява дали вашето предприятие гледа и назад: не само вашата собствена сигурност, но и на страните, от които зависите. Това съответства на изискванията за сигурност, които самото предприятие поставя на своите доставчици — същия принцип, още една стъпка напред в веригата.

На практика обикновено се питат три неща: имате ли политика или процес за оценка на доставчиците по отношение на кибер-рискове, поставяте ли договорни изисквания (като задължение за докладване при инциденти, минимални нива на сигурност), и следите ли това след подписване на договора. Ако нямате този процес, "не" с кратко обяснение е отличен отговор — по-добро от "да", което не можете да подкрепите. Ако имате оценка на доставчиците, но нямате отделен раздел за киберсигурност, назовете го точно така: доказателството трябва да съответства на това, което попълвате. Сертификат ISO 27001 с Приложение A обикновено покрива тази тема, така че ако предприятието е сертифицирано по ISO 27001 то често е най-бързото доказателство, което трябва да предоставите.

Откъде идва това: член 21, параграф 2 и Приложение А

Десетте мерки на член 21, параграф 2 на NIS2 посочват сигурността на веригата като отделна точка, отделена от общия анализ на риска. ISO/IEC 27001 разширява това в мерките за управление на Приложение A, специално насочени към отношения с доставчици и изискванията, които поставяте към тях. Законът за киберсигурност го преобразува в нидерландско право и влиза в сила на 15 август 2026 — засега директивата на ЕС сама по себе си е източникът, и на практика клиентът често вече го пита предварително.