popis pitanja pita kako kontroliramo sigurnost naših dobavljača

Sigurnost lanca opskrbe: vaš kupac pita dalje o vašim vlastitim dobavljačima

Ovo pitanje odnosi se na članak 21. stavak 2. podtačka d Direktive NIS2: sigurnost lanca opskrbe, uključujući odnos sa svakim izravnim dobavljačem ili pružateljem usluga. Vaš kupac dakle želi znati ne samo kako ste vi sami zaštićeni, već i kako to nametate svojim podizvoditeljima. U praksi se obično pita jesu li sigurnosni zahtjevi uključeni u ugovore, procjenjujete li dobavljače unaprijed, te redovito li provjeravate jesu li ispunili te zahtjeve.

Ako ste ovaj postupak još formalno ne uredili, najiskrenije rješenje je da kažete da ga činite neformalno — primjerice putem ugovornih klauzula bez strukturirane procjene — ili da ga još ne činite. Upisivanje "da" jer zvuči logično ne pomaže: ako vaš kupac postavi dodatna pitanja o primjeru ugovora ili popisu dobavljača sa skorom rizika, to mora postojati. Isto pitanje često se pojavljuje u malo drugačijem obliku, naime je li poduzeće postavlja zahtjeve zaštite svojim vlastitim dobavljačima — to je zapravo ista obaveza, ali odvojena od ugovornog pitanja. Stoga je korisno formulirati jedan odgovor koji možete ponovno upotrijebiti na višim listama.

Odakle je ovo došlo: članak 21. stavak 2. i Dodatak A.5.19-21

Pravna osnova je članak 21. stavak 2. podtačka d Direktive NIS2, jedna od deset obaveznih mjera navedenih tamo. U nizozemskoj praksi ovo se pojavljuje u Zakonu o kibernetskoj sigurnosti, omjenoj direktive NIS2 koja stupa na snagu 15. kolovoza 2026. — pitanje vašeg kupca stoga često prethodi onome što će biti obavezno za vas tek kasnije, osim ako već ne potpadatate pod direktivu preko definicije entiteta prema NIS2. Tko primjenjuje ISO/IEC 27001, prepoznaje istu obavezu u Dodatku A, mjerama kontrole pod A.5.19 do A.5.21 o odnosima s dobavljačima i sigurnosnim zahtjevima koji se u njima utvrđuju. Oba izvora u biti traže isto: ne samo znati tko su vaši dobavljači, već dokazivo pratiti njihovu razinu sigurnosti.