upitnik pita kako mapiramo rizike u našoj mreži

Rizici u lancu dotiču dva različita pitanja

Pitanje o rizicima u lancu nabave u praksi se pita za dvije stvari istodobno, a popis pitanja često to razlikovanje ne čini eksplicitnim. Prvo: ima li podjetje samo pogled na rizike koji dolaze kroz vlastite dobavljače i pružatelje usluga — razmislite o IT-dobavljaču s pristupom mreži ili softverskoj komponenti treće strane. Drugo: postavlja li podjetje zahtjeve tim dobavljačima i kontrolira li ih. Ta druga točka se preklapa s pitanjem postavlja li podjetje zahtjeve sigurnosti s onima od svojih dobavljača — često je to doslovno isto pitanje, samo negdje drugdje na popisu još jednom postavljeno drugim riječima.

Tko je certificiran prema ISO/IEC 27001, obično može upozoriti na mjere upravljanja za odnose s dobavljačima iz Dodatka A — one postoje posebno za ovaj dio, a revizor ih je već procijenio. Bez certifikata odgovor nije automatski "ne": relevantno je postoji li analiza rizika u koju su dobavljači uključeni kao točka pažnje, čak i ako je neformalna. To se povezuje s šire pitanje o politici za analizu rizika, gdje su rizici u lancu tipično paragraf, a ne odvojeni dokument. Ako ništa nije dokumentirano, tada je "ne" pošten odgovor — predstavljanje ja bez analize rizika, ugovorne klauzule ili popisa dobavljača na kojem se temeljn, ne podnosi se ako klijent traži dokaz.

Odakle ovo dolazi: članak 21 stavak 2 NIS2

Sigurnost lanca navedena je kao odvojena stavka u članku 21 stavku 2 Direktive NIS2, između deset mjera koje su tam navedene. Za koje sami spadaju pod direktivu — ili brzo prema Zakonu o kibernetskoj sigurnosti, nizozemskoj provedbi kojaступа на снагу 15. августа 2026 — ovo nije fakultativni dio već jedna od obaveznih mjera. Za one koji pod nju ne spadaju, ali pitanje dobivaju od klijenta, obično je to ponovno prenošenje istog zahtjeva: klijent sam mora moći dokazati da upravlja svojom lancem, i zato to pita dalje.