a kérdőív az ellátási láncban rejlő kockázatokra kérdez rá, ami azt jelenti, hogy

A lánci kockázatok a saját beszállítóid biztonsága

A lánci kockázatok azokra a beszállítókra és szolgáltatókra vonatkoznak, akiket te alkalmazol, és arra, hogy azok lyukat jelentenek-e ügyfeled biztonságában. A kérdés nem véletlenül merül fel: a NIS2 21. cikk (2) bekezdésének d) pontjából szó szerint vett intézkedésről van szó, amely kifejezetten az ellátási lánc biztonságáról szól, beleértve a beszállítókkal való kapcsolatot. Az ügyfélnek bizonyítania kell, hogy ezt saját beszállítóinál — tehát nálad — megkérdezte. Innen származik a listában szereplő kérdés.

A gyakorlatban egyszerre két dolgot kérnek. Egyrészt: van-e rálátásod az általad igénybevett kritikus beszállítók (üzemeltetés, szoftver, IT-felügyelet) által hordozott kockázatokra? Másrészt: szoktál-e követelményeket támasztani ezekre a beszállítókra, szerződésben vagy más formában? Az utóbbi átfedésben van azzal a kérdéssel, hogy saját beszállítóidnak megfelelniük kell-e biztonsági követelményeknek — gyakran ez szó szerint ugyanaz a kérdés más formában, ezért először ellenőrizd, hogy már válaszoltál-e rá. Ha nincs formális beszállítói politikád, akkor egy őszinte "nem, még nem" pontosabb, mint egy olyan válasz, amely több ígéretet tesz, mint amennyi valóban van.

A (2) bekezdés d) pontjára hivatkozva

Ez a kérdés közvetlenül az Irányelv (EU) 2022/2555 21. cikk (2) bekezdésének tíz intézkedéséből ered, ahol az ellátási lánc biztonsága külön elem (d) pont) mellett a kockázatértékelés és az incidenskezelés mellett szerepel. A Cyberbeveiligési törvényben, a törvényt 2026. augusztus 15-én hatályba lépő holland átültetésében ez az intézkedés megjelenik az érintett szervezetek számára. Aki az ISO/IEC 27001 szabvánnyal dolgozik, ugyanezt a követelményt felismerheti az A. mellékletben a beszállítói kapcsolatokra vonatkozó vezérlő intézkedések között. Hogy a saját szervezeted mint szervezet maga esik-e a kötelezettség hatálya alá, attól függ, hogy a szervezet szervezetként esik-e a NIS2 vagy a nemzeti átültetés hatálya alá — ez határozza meg, hogy ez számodra kötelezettség-e, vagy csak olyan kérdés, amelyet az ügyfeled továbbít számodra.