A kérdőív azt kérdezi, hogyan térképezzük fel ellátási láncunk kockázatait

A lánckockázatok két különböző kérdést érintenek

A beszállítási lánc kockázatairól szóló kérdés a gyakorlatban egyszerre két dologra kérdez rá, és a kérdőív gyakran nem teszi explicitté ezt a megkülönböztetést. Először is: van-e rálátása a vállalatnak azokra a kockázatokra, amelyek a saját beszállítóin és szolgáltatóin keresztül merülnek fel — gondoljunk egy IT-szolgáltatóra, aki hozzáféréssel rendelkezik a hálózathoz, vagy egy harmadik fél szoftverkomponensére. Másodszor: a vállalat követelményeket támaszt ezekkel a beszállítókkal szemben, és ellenőrzi-e ezeket. Ez a második pont átfedésben van azzal hogy a vállalat biztonsági követelményeket támaszt-e a saját beszállítóival szemben — gyakran szó szerint ugyanez a kérdés, csak később a listán ismét feltéve más szavakkal.

Aki ISO/IEC 27001 tanúsított, általában a beszállítói kapcsolatok kezelésére vonatkozó kontrollintézkedésekre hivatkozhat az A mellékletből — ezek kifejezetten erre a részre szolgálnak, és egy auditor már értékelte őket. Tanúsítvány nélkül a válasz nem automatikusan "nem": az a lényeg, hogy van-e egy kockázatelemzés, amelyben a beszállítók figyelempontként szerepelnek, még akkor is, ha az informális. Ez összhangban van azzal a tágabb kérdés a kockázatelemzési politikáról, ahol a lánckockázatok jellemzően egy bekezdést képeznek, nem pedig egy független dokumentumot. Ha nincs semmilyen rögzítés, akkor az "nem" a becsületes válasz — az igen feltüntetése anélkül, hogy egy kockázatelemzés, szerződéses záradék vagy szállítói lista alapozza meg, nem tart ki, ha az ügyfél a dokumentumra hivatkozik.

Honnan származik ez: a NIS2 21. cikk 2. bekezdése

A lánckockázat-kezelés az NIS2-irányelv 21. cikk 2. bekezdésében külön elemként szerepel, az ott felsorolt tíz intézmkedés között. Aki maga is az irányelv alá tartozik — vagy nemsokára a Kiberbiztonság törvénye, a hollandiai átültetés alá, amely 2026. augusztus 15-én lép hatályba — számára ez nem opciónak számít, hanem az egyik kötelező intézmkedés. Aki nem tartozik alá, de mégis megkapja a kérdést egy ügyféltől, az jellemzően ugyanennek az igénynek az átadása: az ügyfélnek magának tudnia kell igazolni, hogy a lánc feletti kontrollt gyakorol, és ezért továbbadja a kérdést.