το ερωτηματολόγιο ρωτά πώς ελέγχουμε την ασφάλεια των προμηθευτών μας

Ασφάλεια αλυσίδας: ο πελάτης σας ρωτά περαιτέρω για τους δικούς σας προμηθευτές

Αυτή η ερώτηση αφορά το άρθρο 21 παράγραφος 2 στοιχείο δ της NIS2: ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένης της σχέσης με κάθε άμεσο προμηθευτή ή πάροχο υπηρεσιών. Ο πελάτης σας θέλει λοιπόν να γνωρίζει όχι μόνο πώς είστε ασφαλής ο ίδιος, αλλά και πώς το επιβάλλετε στους υπεργολάβους σας. Συγκεκριμένα, συνήθως ερωτάται εάν ενσωματώνετε απαιτήσεις ασφάλειας σε συμβάσεις, εάν αξιολογείτε εκ των προτέρων τους προμηθευτές, και εάν ελέγχετε περιοδικά εάν συμμορφώνονται με αυτές τις απαιτήσεις.

Εάν δεν έχετε ακόμη θεσμοθετήσει τυπικά αυτή τη διαδικασία, η πιο ειλικρινής απάντηση είναι ότι το κάνετε ανεπίσημα — για παράδειγμα μέσω συμβατικών ρητρών χωρίς δομημένη αξιολόγηση — ή ότι δεν το κάνετε ακόμη. Το να συμπληρώσετε «ναι» επειδή ακούγεται λογικό, δεν βοηθά: εάν ο πελάτης σας ρωτά περαιτέρω για ένα δείγμα σύμβασης ή μια λίστα προμηθευτών με βαθμολογία κινδύνου, αυτό θα πρέπει να υπάρχει. Η ίδια ερώτηση συχνά εμφανίζεται σε μια ελαφρώς διαφορετική μορφή, δηλαδή εάν η επιχείρηση θέτει απαιτήσεις ασφάλειας για τους δικούς της προμηθευτές — αυτό είναι ουσιαστικά η ίδια απαίτηση, αλλά αποσπασμένη από την ερώτηση σχετικά με τη σύμβαση. Είναι λοιπόν λογικό να διατυπώσετε μια απάντηση που μπορείτε να χρησιμοποιήσετε ξανά σε πολλές λίστες.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Annex A.5.19-21

Η νομική βάση είναι το άρθρο 21 παράγραφος 2 στοιχείο δ της οδηγίας NIS2, ένα από τα δέκα υποχρεωτικά μέτρα που αναφέρονται εκεί. Για την ολλανδική πρακτική, αυτό επανεμφανίζεται στο Cybersecurity Act, την ενσωμάτωση της NIS2 που τίθεται σε ισχύ στις 15 Αυγούστου 2026 — η ερώτηση του πελάτη σας συχνά προηγείται λοιπόν του τι είναι υποχρεωτικό για εσάς μόνο αργότερα, εκτός εάν υπάγεστε ήδη στην οδηγία μέσω του ορισμού της οντότητας υπό τη NIS2. Όποιος εφαρμόζει ISO/IEC 27001, αναγνωρίζει την ίδια απαίτηση στο Annex A, τα ελεγχόμενα μέτρα υπό A.5.19 έως A.5.21 σχετικά με τις σχέσεις με προμηθευτές και τις απαιτήσεις ασφάλειας που καθορίζονται σε αυτές. Και οι δύο πηγές ζητούν ουσιαστικά το ίδιο: όχι μόνο να γνωρίζετε ποιοι είναι οι προμηθευτές σας, αλλά να αποδείξετε ότι παρακολουθείτε το επίπεδο ασφάλειάς τους.