musíme dávat stejné kybernetické otázky našim vlastním dodavatelům

Ano, protože článek 21 odst. 2 to výslovně vyžaduje

Ano, ve většině případů to musí být. Článek 21 odst. 2 směrnice NIS2 uvádí deset opatření, která musí subjekt přijmout, a bod (d) se konkrétně týká zabezpečení dodavatelského řetězce — včetně vztahu s každým dodavatelem nebo poskytovatelem služeb a mezi nimi. Pokud vás tedy zákazník dotazuje na zabezpečení řetězce, nestačí ukázat, co děláte sami. Musíte také být schopni prokázat, co požadujete od svých vlastních subdodavatelů a jak to kontrolujete.

V praxi to obvykle znamená postupný přístup, nikoli kopii celého dotazníku vašeho zákazníka. Na své straně se obvykle ptejte: má subdodavatel zavedena základní opatření (přístup, zálohování, řešení incidentů), existuje smluvní ustanovení o oznamovací povinnosti v případě incidentu a — u kritických dodavatelů — existují důkazy, jako je certifikát ISO 27001 nebo vlastní prohlášení. Čím větší váhu má subdodavatel v poskytování služeb zákazníkovi, tím konkrétnější požadavky mu můžete uvalit. Jedná se o stejnou otázku, kterou vám nyní klade váš zákazník na bezpečnostní požadavky na vlastní dodavatele — nacházíte se v polovině řetězce, nikoli na jeho začátku.

Kde se to v směrnici a normě nachází

Samotná povinnost je obsažena v článku 21 odst. 2 písm. (d) směrnice NIS2, která zmiňuje zabezpečení řetězce jako jedno z deseti povinných opatření. V holandské praxi se to promítá do zákona o kybernetické bezpečnosti, implementace NIS2, která nabyde účinnosti 15. srpna 2026 — od té doby se povinnost také formálně uplatňuje podle holandského práva na subjekty spadající pod zákon. Kdo může prokázat, že je to systematicky zorganizováno, často odkazuje na Přílohu A normy ISO/IEC 27001, kde jsou vztahy se dodavateli a zabezpečení v dodavatelském řetězci zahrnuty jako samostatná kontrolní opatření. Otázka, zda vaše podnikání samo spadá pod směrnici NIS2 jako subjekt, je přitom samostatnou otázkou, která je oddělena od toho, co vám váš zákazník smluvně požaduje; tento rozdíl je řešen v otázce, zda podnikání spadá pod směrnici.