Налага ли предприятието изисквания за безопасност на своите собствени доставчици?

Веригата на доставки е една от десетте мерки

Да, в повечето случаи това е релевантно да се отговори с позоваване на конкретна политика на доставчиците, а не с общо успокоение. Въпросът идва директно от член 21, параграф 2 на Директива NIS2, където "сигурност на веригата на доставки" стои като отделна точка до другите девет мерки. Клиентът не желае да узнае дали сте добре защитени сами по себе си, а дали пренасяте това изискване към страните, от които сте зависими: хостинг доставчици, софтуерни доставчици, IT услугодаватели.

По конкретно, става въпрос за въпроси като: има ли изисквания за сигурност в договорите с критични доставчици, се проверява ли нивото на сигурност при обществени поръчки или включване, и има ли преглед на зависимостите в останалата част на веригата. Дадено предприятие, което само по себе си има политика за информационна сигурност — вижте също въпроса относно политиката за анализ на риска и защита на информационните системи — често вече има рамка, в която оценката на доставчици е постоянна част. Ако това липсва, тогава "не" или "отчасти" е честен отговор; задължение относно това какво трябва да се случи тук не е наша роля.

Където това е предвидено в член 21, параграф 2 на NIS2

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва защитата на веригата за доставки като една от десетте мерки, които един субект трябва да вземе, включително внимание към отношението между субекта и неговите преки доставчици или доставчици на услуги. Този пункт често е свързан с други мерки от същия списък: доставчик, който не докладва уязвимости, також влияе на „процеса за откриване и отстраняване на уязвимости , и инцидент при доставчик трябва да премине през същия маршрут като инцидент в самото предприятие. Дали този въпрос изобщо е задължителен, зависи от това дали самото предприятие попада под обхвата на директивата — това е отделен въпрос с отговор на свой ред.