upitnik pita kako kontroliramo kibernetičku sigurnost naših vlastitih dobavljača

Sigurnost lanaca opskrbe: što kupac točno želi znati

Ovo pitanje odnosi se na članak 21 stavak 2 pod d Direktive NIS2: zaštita lanca opskrbe, uključujući odnos s pojedinačnim dobavljačima. Kupac dakle ne želi znati jesu li vi sami sigurni, već zahtijeva li to i provjeravate li to i kod SVOJIH dobavljača. Konkretno, upitnik obično traži tri stvari: jeste li uključili zahtjeve za sigurnost u ugovore s dobavljačima, procjenjujete li dobavljače prije nego što ih angažirate, te ih li ponovno procjenjujete periodički. Odgovor kao što je "vjerujemo našim dobavljačima" nije dokaz za ovo polje — iza toga mora biti proces.

Ako imate taj proces, dokaz je obično dobavljačka politika ili klauzula u standardnom ugovoru, eventualno dopunjena pregledom provedenih procjena. Ako to nemate, tada je "ne" ispravan odgovor — popunjavanje na osnovu pretpostavke ne daje "da", jer datoteka za to nema izvora. Napomenimo da je ova tema povezana s drugim poljem u istoj listi: jesu li u poduzeću postavljeni zahtjevi za sigurnost na vlastite dobavljače često je odvojeno postavljeno pitanje, ali dokazi se prekllapaju s onim što se ovdje traži. Također je relevantno jesu li vlastita analiza rizika vašeg poduzeća dobavljače kao zasebnu kategoriju rizika; to se uklanja sa politikom za analizu rizika i zaštitu informacija što se drugdje u listi ispituje.

Osnova: članak 21 stavak 2 i Prilog A

Obveza proizlazi iz članka 21 stavka 2 pod d Direktive (EU) 2022/2555, koja navodi sigurnost lanca opskrbe kao jednu od deset obveznih mjera. ISO/IEC 27001 to razvija u Prilogu A, pod mjerama kontrole za odnose s dobavljačima: tu se pravi razlika između zahtjeva pri početku odnosa i periodičkog nadzora. Za nizozemska poduzeća ista obveza pojavljuje se u Zakonu o kibernetskoj sigurnosti, koji stupuje na snagu 15. kolovoza 2026. kao provedba NIS2. Primjenjuje li se ova obveza na vaše poduzeće, ovisi o tome je li u opsegu primjene ove direktive; to je drugačije pitanje od onoga što se ovdje ispituje, i objašnjeno je odvojeno pri primjenjuje li se na poduzeće sam NIS2.