klijent pita kako smo zaštićeni od napada preko naših dobavljača

Ovo pitanje se odnosi na članak 21 stavak 2 točka d, a ne na vašu cjelokupnu politiku zaštite

Ovo pitanje specifično se fokusira na zaštitu opskrbnog lanca: što činite da spriječite da slaba točka kod vaših dobavljača omogući napad na vas. To je jedna od deset mjera iz članka 21 stavak 2 NIS2, uz ostalo uključujući analizu rizika, rukovanje incidentima i kriptografiju. Postavljač pitanja dakle ne želi znati kako su vaši vlastiti sustavi zaštićeni — to je drugo pitanje na listi — već kako održavate kontrolu nad rizicima koji dolaze kroz treću stranu.

Konkretan dokaz za to obično se sastoji od tri dijela: procjena dobavljača prije zaključivanja ugovora, zahtjevi zaštite koji su ugovoreno uspostavljeni (pomislite na ugovor o obradi podataka ili zaseban dodatak o zaštiti), i pregled kojih dobavljača ima pristup kojim sustavima ili podacima. Ako to nemate, tada je "ne" iskren odgovor — popis dobavljača bez temeljnih zahtjeva nije dokaz kontrole. Ako želite detaljnije pogledati što kupac točno misli pod ovim pitanjem, pomaže ako poduzeće postavlja zahtjeve zaštite svojim vlastitim dobavljačima posebno je razrađeno u ketendossier-u, odvojeno od pitanja je li vam samima primjenjiva ova uredba.

Ako ste ISO 27001 certificirani, odgovor je često već spreman: Annex A sadrži specifičnu mjeru upravljanja za odnose s dobavljačima (A.5.19 do A.5.22 u verziji iz 2022.), a revizor je to već jednom provjerio. Bez certifikata odgovor nije automatski "ne" — radi se o onome što zapravo činite, a ne o pečatu. Ako ste u sumnji, provjerite je li poduzeće ISO 27001-certificirano već zabilježeno u dossier-u, što štedi istraživanje kod ovog pitanja.

Odakle dolazi: članak 21 stavak 2 točka d NIS2

Članak 21 stavak 2 točka d Direktive (EU) 2022/2555 izričito navodi "zaštitu opskrbnog lanca" kao obvezni dio upravljanja rizicima, uključujući odnos s pojedinim dobavljačima. Zakon o kibernetskoj sigurnosti preuzima ovu obvezu čim zakon stane na snagu; do tada pitanje može već biti prisutno jer je kupac sam već primjenjiv prema direktivi i to prenosi kroz lanac, čak i ako vi sami niste NIS2-entitet.