Kas ettevõte seab oma tarnijatele turvateateid?

Tarneahel on üks kümnest meetmest

Jah, enamikul juhtudel on see asjakohasele vastamisele konkreetset tarnijate poliitikat juurde kutsumise kaudu, mitte üldise rahustamisega. Küsimus pärineb otse NIS2-direktiivi 21. artikli 2. lõigust, kus "tarneahela turvalisus" on eraldi punktina muude üheksa meetme kõrval. Klient tahab seega teada, mitte kas teil endal on hea turvalisus, vaid kas te seda nõuet edasiste osapoolte ees kehtestata: hostingpartnerid, tarkvara tarnijad, IT-teenustepakkujad.

Konkreetselt käib küsimused sellest, kas turvanõuded on lepingutes kriitiliste tarnijatega, kontrollitakse turvalisuse taset hanke- või kaasamisprotsessis, ja kas on nähtavus sõltuvuste suhtes kaugemal ahelas. Ettevõtte, millel endal on infoturbealane poliitika — vt ka küsimust riskianalüüsi ja infosüsteemide turvamise poliitika — on sageli juba raamistik, kus tarnijate hindamine on püsiosa. Kui see puudub, siis on "ei" või "osaliselt" aus vastus; lubadus selle kohta, mis peaks juhtuma, pole siin meie roll.

Kus see artikli 21 lõigus 2 NIS2 asub

Euroopa Liidu direktiivi (EL) 2022/2555 artikli 21 lõige 2 nimetab tarneahela turvalisust ühena kümnest meetmest, mida üksus peab võtma, sealhulgas tähelepanu üksuse ja tema otseste tarnijate või teenusepakkujate vahelisele suhtele. See punkt on sageli seotud sama nimekirja teiste meetmetega: tarnija, kes haavatavusi ei teavita, mõjutab ka haavatavuste avastamise ja parandamise protsessija tarnija juures aset leidnud juhtum peab kulutama sama teekonda kui juhtum ettevõttes endas. See, kas see küsimus on üldse kohustuslik, sõltub sellest, kas ettevõte ise jääb direktiivi rakendamisala alla — see on eraldi küsimus, millel on oma vastus.