kell-e ugyanazokat a kiberbiztonsági kérdéseket feltennünk saját beszállítóinknak

Igen, mert a 21. cikk 2. bekezdés ezt szó szerint előírja

Igen, a legtöbb esetben szükséges. A NIS2-irányelv 21. cikk 2. bekezdése tíz intézkedést sorol fel, amelyeket egy entitásnak meg kell tennie, és e bekezdés (d) pontja kifejezetten az ellátási lánc biztosítására vonatkozik — beleértve az összes szállítóval vagy szolgáltatóval való kapcsolatot és azok közötti kapcsolatot. Ha tehát az ügyfele az ellátási lánc biztosításáról kérdez, nem elég annak bemutatása, hogy Ön mit tesz. Azt is tudnia kell mutatni, hogy mit követel meg saját alvállalkozóitól és hogyan ellenőrzi ezt.

A gyakorlatban ez általában többszintű megközelítést jelent, nem az ügyfele teljes kérdőívének másolatát. Általában az alábbiak után kérdezzen: az alvállalkozó rendelkezik-e alapvető intézkedésekkel (hozzáférés, biztonsági mentések, incidensmegoldás), van-e szerződésben rögzített bejelentési kötelezettség az incidens esetén, és — kritikus szállítók esetén — van-e bizonyíték, például ISO 27001 tanúsítvány vagy saját nyilatkozat. Minél nagyobb súlya van az alvállalkozónak az ügyfél felé nyújtott szolgáltatásban, annál konkrétabbak lehetnek az Ön által átadott követelmények. Ez ugyanaz a kérdés, amelyet az ügyfele most Önhöz intéz a tekintetben, a saját szállítókra vonatkozó biztonsági követelmények — az ellátási lánc közepén helyezkedik el, nem az elején.

Ahol ez az irányelvben és a normában szerepel

A kötelezettség maga a NIS2-irányelv 21. cikk 2. bekezdésének (d) pontjában szerepel, amely az ellátási lánc biztosítását a tíz kötelező intézkedés egyikeként említi. A holland gyakorlatban ez a Cyberbeveiligési törvény, a NIS2 átültetése lesz, amely 2026. augusztus 15-én lép hatályba — ettől az időponttól fogva a kötelezettség a törvény hatálya alá tartozó entitások tekintetében formálisan is van a holland jogi szabályokra. Aki azt tudja igazolni, hogy ezt szisztematikusan szervezte, gyakran az ISO/IEC 27001 A mellékletét említi, ahol a szállítói kapcsolatok és az ellátási lánc biztosítása külön irányítási intézkedésként szerepel. Hogy a vállalata maga entitásként a NIS2-irányelv hatálya alá tartozik-e, külön kérdés, amely független attól, amit az ügyfele szerződésben Öntől megkövetel; e különbség a kérdésben kerül tárgyalásra, hogy a vállalkozás a irányelv hatálya alá tartozik-e.