seznam otázek se ptá na rizika v našem dodavatelském řetězci, co to znamená

Řetězová rizika jsou bezpečnost vašich vlastních dodavatelů

Řetězová rizika se týkají dodavatelů a poskytovatelů služeb, které si najímáte, a zda nedělají mezeru v bezpečnosti vašeho zákazníka. Otázka nepochází z ničeho: jedná se o doslova opatření z článku 21 odst. 2 NIS2, část d, která se explicitně zabývá bezpečností dodavatelského řetězce, včetně vztahu s dodavateli. Váš zákazník musí být schopen prokázat, že si to ověřil u svých vlastních dodavatelů — tedy u vás. Proto je otázka v seznamu.

V praxi se zároveň ptají na dvě věci. První: máte vy sami přehled o rizicích, která vaši kritičtí dodavatelé (hosting, software, správa IT) s sebou přinášejí? Druhé: kladete vy sami požadavky na ty dodavatele, smluvně nebo jinak? Toto druhé se překrývá s otázkou, zda musí vaši vlastní dodavatelé splňovat požadavky na bezpečnost — často se jedná o doslova stejnou otázku v jiné podobě, takže nejdřív zkontrolujte, zda jste ji už neodpověděli. Nemáte-li formální zásady pro dodavatele, pak je upřímné "ne, zatím ne" přesnější než odpověď, která slibuje víc, než je k dispozici.

Odkazuje se na článek 21 odst. 2 písm. d NIS2

Tato otázka přímo vyplývá z deseti opatření článku 21 odst. 2 Směrnice (EU) 2022/2555, v níž je zabezpečení dodavatelského řetězce uvedeno jako samostatná část (písm. d) vedle analýzy rizik a řešení incidentů. V Zákoně o kybernetické bezpečnosti, české transpozici, která nabude účinnosti 15. srpna 2026, se toto opatření opakuje pro subjekty podléhající tomuto zákonu. Kdo pracuje s ISO/IEC 27001, najde stejný požadavek v Příloze A mezi opatřeními pro řízení vztahů se zprostředkovateli. To, zda vaše podnik sám spadá do rozsahu této povinnosti, závisí na tom, zda podnik jako subjekt spadá pod NIS2 nebo její národní transpozici — to určuje, zda se jedná o vaši povinnost nebo pouze o otázku, kterou vám přeposílá váš zákazník.