Klade podnik bezpečnostní požadavky na své vlastní dodavatele?

Dodavatelský řetězec je jedním z deseti opatření

Ano, ve většině případů je relevantní odpovědět s odkazem na konkrétní politiku dodavatelů, nikoliv s obecným ujištěním. Otázka pochází přímo z článku 21 odstavec 2 směrnice NIS2, kde je "bezpečnost dodavatelského řetězce" uvedena jako samostatný bod vedle devíti dalších opatření. Zákazník tedy nechce vědět, zda jste sami dobře zabezpečeni, ale zda tento požadavek prosazujete vůči stranám, na kterých jste závislí: poskytovatele hostingu, dodavatelé software, poskytovatele IT služeb.

Konkrétně jde o otázky typu: jsou v kontraktech s kritickými dodavateli zakotveny bezpečnostní požadavky, je při zadávání nebo onboardingu posuzována úroveň bezpečnosti, a má se přehled o závislostech dále v řetězci. Podnik, který má vlastní politiku informační bezpečnosti — viz také otázku o politiky analýzy rizik a bezpečnosti informačních systémů — často již má rámec, v němž je posouzení dodavatelů pevnou součástí. Chybí-li to, pak je "ne" nebo "částečně" čestná odpověď; závazek ohledně toho, co by se mělo stát, zde není na nás.

Kde je to v článku 21 odstavec 2 NIS2

Článek 21 odstavec 2 směrnice (EU) 2022/2555 uvádí bezpečnost dodavatelského řetězce jako jedno z deseti opatření, která musí subjekt přijmout, včetně pozornosti věnované vztahu mezi subjektem a jeho přímými dodavateli nebo poskytovateli služeb. Tento bod často souvisí s dalšími opatřeními ze stejného seznamu: dodavatel, který neoznamuje zranitelnosti, ovlivňuje také proces pro zjišťování a nápravu zranitelností, a incident u dodavatele musí jít stejnou cestou jako incident v samotném podniku. Zda je tato otázka vůbec povinná, závisí na tom, zda samotný podnik podléhá směrnici — to je samostatná otázka s vlastní odpovědí.