Az ügyfelem azt kérdezi, hogyan kezeljük a külső szállítók hozzáférését

A külső szállítók hozzáférése a 21. cikk (2) bekezdésének tárgyát képezi

Ez a kérdés arra vonatkozik, hogy Ön hogyan kezeli a harmadik felek hozzáférését az Ön rendszereihez és adataihoz, és ez a NIS2 21. cikk 2. bekezdésének tíz intézkedése közül kettőt érinti egyszerre: az (i) pont, a hozzáférési politika, és a (d) pont, az ellátási lánc biztonsága a szállítók felé. A kliens tehát nem csak azt szeretné tudni, hogy a külső felek rendelkeznek-e hozzáféréssel, hanem azt is, hogy ez a hozzáférés hogyan van korlátozva, ki adja meg és vonja vissza, és hogy ez a folyamat rögzítve van-e. Egy olyan válasz, mint hogy "szállítók csak jóváhagyás után kapnak hozzáférést" túl homályos ahhoz, hogy ne legyen feltüntetve, hogyan zajlik a jóváhagyás és milyen gyakran kerül felülvizsgálatra.

Amit konkréten szüksége van: a külső fiókok engedélyezési folyamatának leírása, lehetőleg a legkisebb jogosultság elvének (a hozzáférés korlátozása csak a szükséges mértékben) és annak a időszakának megemlítésével, amikor a hozzáférést felülvizsgálják vagy visszavonják a feladat befejeztésekor. Ha ez a folyamat hiányzik, akkor az "nem" ez a becsületes válasz — egy sugalmazó "igen" mögöttes dokumentum nélkül az ügyfél ellenőrzésénél több károkat okoz, mint egy "nem" azzal a magyarázattal, hogy az irányelv még fejlesztés alatt áll. Ez a témakör átfedésben van azzal: a hozzáférési szabályzattal és az üzleti eszközök kezelésével, ahol a szélesebb engedélyezési struktúra kerül tárgyalásra, és azzal a kérdéssel, hogy a vállalat követelményeket szab a saját szállítóinak, mivel a külső hozzáférés kezelése a gyakorlatban gyakran ugyanazon ellátási lánc politika része.

Ahol ez szerepel: 21. cikk 2. bekezdés, (d) és (i) pontok

A (EU) 2022/2555 irányelvlet 21. cikk 2. bekezdése az (i) pontban a "hozzáférés-szabályozási politika" emeli ki a tíz kötelező intézkedés egyikeként, a (d) pontban pedig az ellátási lánc biztonsága, beleértve a beszállítókkal való kapcsolatot — a külső hozzáférés mindkettőre vonatkozik. Az ISO/IEC 27001 Annex A a hozzáférés-kezelésre és a beszállítói kapcsolatokra vonatkozó megfelelő irányítási intézkedéseket sorolja fel ellenőrzési szinten, ami azt magyarázza, hogy egy ügyfél gyakran egy adott Annex A ellenőrzési szám helyett magára az irányelvszövegre kérdez rá. Az EU NIS2-irányelvlet által érintett vállalkozásoknál ez a kötelezettség a Cyberbeveiligési törvényben (amely 2026. augusztus 15-én lép hatályba) is megjelenik.