клиентът пита как управляваме достъпа на външни доставчици

Достъпът за външни доставчици е част от член 21 параграф 2

Този въпрос се отнася до това как управлявате достъпа на трети страни до вашите системи и данни, и това засяга два от десетте мерки от член 21 параграф 2 на NIS2 едновременно: точка (i), политиката за достъп, и точка (d), сигурност на веригата по отношение на доставчиците. Клиентът искане не само да знае дали външни страни имат достъп, но и как е ограничен този достъп, кой го дава и отнема, и дали този процес е документиран. Отговор като "доставчиците получават достъп само след одобрение" е твърде неопределен без указание как протича това одобрение и колко често се преразглежда.

Какво конкретно ви е необходимо: описание на процеса на оторизация за външни сметки, предпочетелно с указване на принципа на най-малкия привилегий (достъпът ограничен до необходимото) и периода, в който достъпът се преразглежда или отнема при завършване на задачата. Ако този процес липсва, тогава "не" е честният отговор тук — предположително "да" без подлежащ документ причинява по-много вреда при извадка на клиента, отколкото отрицание със обяснение, че политиката е в разработка. Тази тема се припокрива с политиката за достъп и управление на корпоративни активи," където се третира по-широката структура на оторизацията, и с въпроса дали предприятието поставя изисквания към собствените си доставчици, тъй като управлението на външния достъп често е част от същата политика на веригата в практиката.

Където е посочено: член 21 параграф 2, букви (d) и (i)

Член 21 параграф 2 на Директива (EU) 2022/2555 посочва под (i) "политика за контрол на достъпа" като една от десетте задължителни мерки и под (d) защитата на веригата на доставки, включително отношението с доставчици — външният достъп попада под двете. В ISO/IEC 27001 Annex A се разработват съответните контролни мерки за управление на достъпа и за отношения с доставчици на ниво контрол, което обяснява защо клиент често пита за конкретен номер на контрол от Annex A вместо за самия текст на директивата. За компании, които попадат в приложението на нидерландския преглед, това задължение се появява отново в Киберсигурностния закон, който влезе в сила на 15 август 2026 г.