Θέτει η επιχείρηση απαιτήσεις ασφαλείας στους δικούς της προμηθευτές;

Η αλυσίδα εφοδιασμού είναι ένα από τα δέκα μέτρα

Ναι, στις περισσότερες περιπτώσεις είναι σχετικό να απαντηθεί με αναφορά σε συγκεκριμένη πολιτική προμηθευτών, όχι με γενική διαβεβαίωση. Το ερώτημα προέρχεται κατευθείαν από το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, όπου η «ασφάλεια της αλυσίδας εφοδιασμού» αναφέρεται ως ξεχωριστό σημείο παράλληλα με τα άλλα εννέα μέτρα. Ο πελάτης δεν θέλει επομένως να γνωρίζει εάν είστε ο ίδιος καλά ασφαλισμένοι, αλλά εάν επιβάλλετε αυτή την απαίτηση στα μέρη από τα οποία εξαρτάστε: φορείς φιλοξενίας, προμηθευτές λογισμικού, παρόχους υπηρεσιών IT.

Συγκεκριμένα, πρόκειται για ερωτήματα όπως: υπάρχουν απαιτήσεις ασφάλειας στα συμβόλαια με κρίσιμους προμηθευτές, ελέγχεται η ασφάλεια κατά τη δημοπρασία ή την ενσωμάτωση, και υπάρχει ορατότητα των εξαρτήσεων περαιτέρω στην αλυσίδα. Μια επιχείρηση που έχει η ίδια μια πολιτική ασφάλειας πληροφοριών — ανατρέξτε επίσης στο ερώτημα σχετικά με πολιτική για την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών — έχει συχνά ήδη ένα πλαίσιο στο οποίο η αξιολόγηση προμηθευτών είναι ένα σταθερό τμήμα. Εάν λείπει αυτό, τότε το «όχι» ή «εν μέρει» είναι μια ειλικρινής απάντηση· μια δέσμευση για το τι θα έπρεπε να συμβεί δεν είναι δική μας.

Όπου αυτό αναφέρεται στο άρθρο 21 παράγραφος 2 NIS2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει την ασφάλεια της αλυσίδας εφοδιασμού ως ένα από τα δέκα μέτρα που πρέπει να λάβει μια οντότητα, συμπεριλαμβανομένης της προσοχής στη σχέση μεταξύ της οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της. Αυτό το σημείο συνδέεται συχνά με άλλα μέτρα από την ίδια λίστα: ένας προμηθευτής που δεν αναφέρει ευπάθειες, επηρεάζει επίσης τη διαδικασία ανίχνευσης και διόρθωσης ευπαθειών, και ένα περιστατικό από έναν προμηθευτή πρέπει να ακολουθήσει την ίδια διαδρομή με ένα περιστατικό στην επιχείρηση. Το εάν αυτό το ερώτημα είναι καν υποχρεωτικό, εξαρτάται από το εάν η ίδια η επιχείρηση υπόκειται στην οδηγία — αυτό είναι ένα ξεχωριστό ερώτημα με μια δική του απάντηση.