küsimustik küsib, kuidas me jälgime meie tarnijate turvalisust

Tarneahela turvalisus: teie klient küsib teie enda tarnijate kohta edasi

See küsimus käsitleb NIS2 artikli 21 lõike 2 punkti d: tarneahela turvalisus, sealhulgas seos iga otsese tarnija või teenusepakkujaga. Teie klient tahab teada mitte ainult seda, kuidas te ise turvatud olete, vaid ka seda, kuidas te seda enda alamhankijatelt nõuate. Konkreetselt küsitakse tavaliselt, kas te lisate turvalisuse nõudmised lepingutesse, kas hindasite tarnijaid eelnevalt ja kas teete perioodiliselt kontrolli, kas nad neid nõudmisi järgivad.

Kui te seda protsessi veel ametlikult korraldanud ei ole, on ausaim vastus, et teete seda mitteametlikult — näiteks lepinguliste klauslite kaudu ilma struktureeritud hindamiseta — või et te ei tee seda veel. "Jah" kirjutamine, sest see kõlab loogiliselt, ei aita: kui teie klient küsib edasi näidilepingu või riskiskoori tarnijate nimekirja järele, peab see olemas olema. Sama küsimus tuleb sageli tagasi natuke teises vormis, nimelt kas ettevõte seab turvalisusnõuded oma tarnijaile — see on tegelikult sama nõue, kuid lahti arvutatud lepinguksimusest. Seega on mõttekas sõnastada üks vastus, mida te mitmel nimekirjal taaskasutada saate.

Kust see pärit on: NIS2 artikli 21 lõige 2 ja lisa A.5.19-21

Õiguslik alus on NIS2 direktiivi artikli 21 lõike 2 punkt d, üks kümne kohustuslikust meetmest, mis seal mainitakse. Hollandi praktikas esineb see uuesti küberturvalisuse seaduses, NIS2 transpositsioon, mis jõustub 15. augustil 2026 — teie kliendi küsimus läheb seega sageli ette sellele, mis muulle teile kohustuslik saab, kui te juba NIS2 all ei kuuluta definitsiooni üksuse määratlus NIS2 alusel. Kes rakendab ISO/IEC 27001, tunneb sama nõuet Lisas A, kontrollmeetmetes A.5.19 kuni A.5.21 tarnijasuhete ja nende turvalisuse nõudmiste kohta. Mõlemad allikad küsivad sisuliselt sama: olla teadlik mitte ainult sellest, kes teie tarnijad on, vaid tõendada, et jälgite nende turvalisuse taset.