peame näitama, et me kontrollime oma tarnijaid küberjulgeoleku seisukohast, kuidas ma seda teen

Tarneahela turvalisus: mida nõuab artikkel 21 lõige 2 punkt d

Direktiivi (EU) 2022/2555 artikli 21 lõige 2 punkt d nimetab tarneahela turvalisust kui ühte kümnest kohustuslikust meetmest, sealhulgas osutaja ja tema otseste tarnijate vaheliste suhete turvalisusaspekte. See tähendab praktikas järgmist: pead suutma näidata, et tarnijasuhete loomisel ja säilitamisel hindasid sa, kas see tarnija kujutab riski sinu enda teenusetegevusele. Välja kirjutatud tarnijapõhimõtted, millel on vähemalt kolm osa, hõlmavad tavaliselt seda: valikukriiteerium eelnevalt (millised nõuded kehtestada uutele tarnijatele), perioodiline hindamine lepingu kehtivuse ajal ja eskalatsiooni protseduur juhul, kui tarnija teatab intsidendist. See on sama küsimus, mille sinu klient sulle enda kohta esitab ketarisiko kohta — sisuliselt sisestased siin oma enda vastuse, kuid ühe taseme sügavamalt tarneahelas.

Milline näitab tõendusena kinni, sõltub sinu protsessi küpsusest. Lepinguklausel, milles kohustub tarnija teatud turbeklauslitele, on alguspunkt, kuid mitte test. Tugevam on küsimustik, mille saadate ise tarnijatele ja mis on seotud lihtsa riskisildiga (madal/keskmikses/kõrge), mis põhineb sellel, mida see tarnija näeb või puudutab sinu süsteemidest. Kui seda pole, on kõige ausam vastus, et pead protsessi veel organiseerima — mitte sisestada "jah" lepinguklauslisse, mis pole asjalik. Tähelepanu: see on erinev küsimus kui see, kas sinu enda ettevõte kuulub direktiivi reguleerimisalasse; isegi kui sa ise otseselt NIS2 alla ei kuulu, võib klient seda ketmeväljaande tõttu sinult ikkagi nõuda.

Kust see pärineb: direktiiv ja Hollandi seadus

Kohustus asub Direktiivi (EU) 2022/2555 artiklis 21 lõige 2 punkt d; Küberturvalisuse seadus (Cyberbeveiligingswet) viib selle Hollandi õigusesse ja jõustub ootuste kohaselt 15. augustil 2026. ISO/IEC 27001 lisa A sisaldab sarnast kontrolmeedet tarnijasuhete kohta, mis selgitab, miks kliendid ISO-küsimustikuga ja kliendid, kes viitavad NIS2-le, esitavad sageli sama küsimuse.