Nameće li poduzeće sigurnosne zahtjeve svojim dobavljačima?

Lanac opskrbe jedan je od deset mjera

Da, u većini slučajeva relevantno je odgovoriti pozivanjem na konkretnу politiku dobavljača, a ne na općenitim teškoće. Pitanje dolazi izravno iz članka 21 stavka 2 NIS2 direktive, gdje se "sigurnost lanca opskrbe" pojavljuje kao odvojena točka pored ostalih devet mjera. Klijent dakle ne želi znati jesu li vi sami dobro zaštićeni, već postavljate li taj zahtjev dalje dionicima od kojih ste ovisni: pružatelji hostinga, dobavljači softvera, IT pružatelji usluga.

Konkretno radi se o pitanjima kao što su: sadrže li sigurnosne zahtjeve ugovori s kritičnim dobavljačima, provjerava li se sigurnosna razina tijekom nabave ili integracije, i postoji li vidljivost ovisnosti dalje u lancu. Poduzeće koje ima vlastitu politiku informacijske sigurnosti — vidi i pitanje o politike za analizu rizika i zaštitu informacijskih sustava — često već ima okvir u kojem je procjena dobavljača stalna komponenta. Ako to nedostaje, tada su "ne" ili "dijelomično" iskreitan odgovor; obveza o onome što bi trebalo biti je ovdje nije relevantna.

Gdje se to nalazi u članu 21 stavka 2 NIS2

Članak 21 stavka 2 Direktive (EU) 2022/2555 navodi sigurnost lanca opskrbe kao jednu od deset mjera koje entitet mora poduzeti, uključujući pažnju na odnos između entiteta i njezinih izravnih dobavljača ili pružatelja usluga. Ova točka često je povezana s drugim mjerama iz iste liste: dobavljač koji ne prijavi ranjivosti, utječe i na proces za otkrivanje i otklanjanje ranjivosti, a incident kod dobavljača mora proći istom rutom kao incident u samom poduzeću. Jesu li ova pitanja uopće obvezna, ovisi o tome pada li samo poduzeće pod direktivu — to je zasebno pitanje s vlastitim odgovorom.