η λίστα ερωτήσεων ρωτά πώς ελέγχουμε την κυβερνοασφάλεια των δικών μας προμηθευτών

Ασφάλεια της αλυσίδας εφοδιασμού: τι ακριβώς θέλει να γνωρίζει ο πελάτης

Αυτή η ερώτηση αφορά το άρθρο 21 παράγραφος 2 στοιχείο δ της NIS2: την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένης της σχέσης με κάθε μεμονωμένο προμηθευτή. Ο πελάτης δεν θέλει λοιπόν να γνωρίζει αν είστε ασφαλείς ο ίδιοι, αλλά αν το απαιτείτε αυτό και το ελέγχετε και από ΤΟΥΣ προμηθευτές σας. Συγκεκριμένα, η ερωτηματολόγιο συνήθως αναζητά τρία πράγματα: έχετε συμπεριλάβει απαιτήσεις ασφάλειας στις συμβάσεις με προμηθευτές, αξιολογείτε τους προμηθευτές πριν τους αναθέσετε εργασίες, και τους επανεξετάζετε περιοδικά. Μια απάντηση όπως "εμπιστευόμαστε τους προμηθευτές μας" δεν αποτελεί απόδειξη για αυτό το πεδίο — πρέπει να υπάρχει μια διαδικασία πίσω από αυτό.

Αν έχετε αυτή τη διαδικασία, το αποδεικτικό στοιχείο είναι συνήθως μια πολιτική προμηθευτών ή μια ρήtrauση στη τυπική σύμβαση, ενδεχομένως συμπληρωμένη με ένα επιτόκιο των διενεργηθεισών αξιολογήσεων. Αν δεν το έχετε, τότε το "όχι" είναι εδώ η ειλικρινής απάντηση — η συμπλήρωση βάσει μιας υπόθεσης δεν αποφέρει "ναι", διότι το αρχείο δεν έχει πηγή γι' αυτό. Αυτό το θέμα, παρεμπιπτόντως, συνδέεται με ένα άλλο πεδίο στο ίδιο ερωτηματολόγιο: αν η επιχείρηση θέτει απαιτήσεις ασφάλειας στους δικούς της προμηθευτές είναι συχνά μια ξεχωριστή ερώτηση, αλλά τα αποδεικτικά στοιχεία επικαλύπτονται με αυτά που ζητούνται εδώ. Είναι επίσης σχετικό αν η δική σας ανάλυση κινδύνου περιλαμβάνει προμηθευτές ως ξεχωριστή κατηγορία κινδύνου· αυτό συμφωνεί με την πολιτική για ανάλυση κινδύνου και ασφάλεια πληροφοριών που ερευνάται αλλού στη λίστα.

Βάση: άρθρο 21 παράγραφος 2 και Παράρτημα A

Η υποχρέωση απορρέει από το άρθρο 21 παράγραφος 2 στοιχείο δ της Οδηγίας (ΕΕ) 2022/2555, το οποίο αναφέρει την ασφάλεια της αλυσίδας εφοδιασμού ως ένα από τα δέκα υποχρεωτικά μέτρα. Το ISO/IEC 27001 το αναλύει περαιτέρω στο Παράρτημα A, στις ελεγκτικές δραστηριότητες για σχέσεις προμηθευτών: εκεί διακρίνεται μεταξύ απαιτήσεων κατά την έναρξη της σχέσης και περιοδικής παρακολούθησης. Για ολλανδικές επιχειρήσεις, η ίδια υποχρέωση εμφανίζεται και στο Νόμο περί Κυβερνοασφάλειας, ο οποίος τίθεται σε ισχύ στις 15 Αυγούστου 2026 ως μεταφορά της NIS2. Το αν αυτή η υποχρέωση ισχύει για τη δική σας επιχείρηση εξαρτάται από το αν εμπίπτετε στην οδηγία· αυτό είναι μια διαφορετική ερώτηση από αυτήν που ερευνάται εδώ, και εξηγείται χωριστά στην ενότητα αν η επιχείρηση αυτή καθαυτή εμπίπτει στη NIS2.