dotazník se ptá, jak zvládáme rizika našich dodavatelů

Bezpečnost dodavatelského řetězce je jedním z deseti povinných opatření

Nejde jen o dodatečnou otázku: bezpečnost dodavatelského řetězce je v článku 21 odst. 2 NIS2 uvedena jako samostatná součást vedle dalších devíti opatření, jako jsou analýza rizik, řešení incidentů a řízení přístupu. Zákazník, který si to ověřuje, kontroluje, zda se vaše podnik dívá také dozadu: nejde jen o vaši vlastní bezpečnost, ale také o bezpečnost stran, na nichž jste závislí. To se váže na požadavky na bezpečnost, které podnik sám klade svým dodavatelům — stejný princip, jeden krok dále v řetězci.

V praxi se obvykle ptají na tři věci: máte politiku nebo postup pro hodnocení dodavatelů z hlediska kybernetických rizik, stanovujete smluvní požadavky (pomysleme na oznamovací povinnost při incidentech, minimální úrovně bezpečnosti) a monitorujete to i po podpisu smlouvy. Pokud tento postup nemáte, je "ne" s krátkým vysvětlením dobrá odpověď — lépe než "ano", které nemůžete podložit. Máte-li hodnocení dodavatelů, ale nemáte oddělený bezpečnostní prvek, pojmenujte to přesně takto: důkaz musí odpovídat tomu, co vyplníte. Certifikát ISO 27001 s přílohou A obvykle pokrývá toto téma, takže pokud podnik je certifikován ISO 27001 je to často nejrychlejší důkaz k předložení.

Odkud to pochází: článek 21 odst. 2 a příloha A

Deset opatření článku 21 odst. 2 NIS2 uvádějí bezpečnost dodavatelského řetězce jako samostatný bod, oddělený od obecné analýzy rizik. ISO/IEC 27001 to dále rozvíjí v opatřeních na řízení v příloze A, konkrétně zaměřená na vztahy s dodavateli a požadavky, které na ně kladete. Zákon o kybernetické bezpečnosti tuto povinnost transpozuje do českého práva a vstupuje v platnost 15. srpna 2026 — prozatím je zdrojem samy EU směrnice a zákazník se v praxi často již na ni podívá proaktivně.