klient küsib, kuidas me hallame väliste tarnijate juurdepääsu

Välis­e tarni­jate juurdepääs on artikli 21 lõike 2 osa

See küsimus käsitleb, kuidas te hallite kolmanda osapooled juurdepääsu teie süsteemidele ja andmetele, ning see puudutab kaks NIS2 artikli 21 lõike 2 kaheksast meetmest korraga: punkt (i), juurdepääsukontroll, ja punkt (d), tarneahela turvalisus tarni­jate suhtes. Klient soovib teada mitte ainult seda, kas välis­ed osapooled juurdepääsu omavad, vaid ka seda, kuidas see juurdepääs on piiritletud, kes selle annab ja tühistab, ning kas see protsess on dokumenteeritud. Vastus nagu "tarni­jad saavad juurdepääsu ainult pärast heakskiitu" on liiga ebamäärane ilma selgituseta, kuidas see heakskiltumine toimub ja kui sageli seda üle vaadatakse.

Mida te konkreetselt vajate: kirjeldus välis­e kontode autoriseerimise protsessist, eelistatavalt koos viitega põhimõttele least privilege (juurdepääs on piiratud sellega, mis on vajalik) ja tähtaja märkimisega, millal juurdepääs üle vaadatakse või tühistatakse ülesande lõppemisel. Kui see protsess puudub, siis on siinkohal "ei" aus vastus — vihjav "jah" ilma aluseks oleva dokumendita tekitab kliendi valimis rohkem kahju kui "ei" koos selgitusega, et poliitika on arendusjärgus. See teema kattub punktiga juurdepääsupoliitikaga ja ettevõtte varade juhtimisegakohta, kus laiemad autoriseerimise struktuurid käsitletakse, ja küsimuse kohta kas ettevõte teeb nõudmisi oma tarni­jatelesest välis­e juurdepääsu haldamine on praktikas sageli osa samast tarneahelate poliitikast.

Kus see asub: artikli 21 lõike 2 punktid (d) ja (i)

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 loetleb punkti (i) all "juurdepääsukontrolli poliitikat" kui ühte kümmenest kohustuslikust meetmest, ja punkti (d) all tarneahela turvalisust, sealhulgas suhteid tarni­jatega — välis­e juurdepääs kuulub mõlema alla. ISO/IEC 27001 lisas A on juurdepääsuhalduse ja tarni­jasuhtete seotud kontrollmeetmed töövälja tasemel välja töötatud, mis selgitab, miks klient sageli küsib konkreetset lisa A kontrollinumbrit valdkonna tekstist endast. Ettevõtetele, kes kuuluvad Hollandi rakendamise alla, kohaldatakse seda kohustust Kyberturvalisuse seaduses, mis jõustub 15. augustil 2026.