turime parodyti, kad tikrinamos mūsų tiekėjų kibernetinio saugumo procedūros, kaip tai padaryti

Tiekimo grandinės saugumas: ką prašo 21 straipsnio 2 dalies d punktas

NIS2 direktyvos 21 straipsnio 2 dalies d punktas tiekimo grandinės apsaugą nurodo kaip vieną iš dešimties privalomų priemonių, įskaitant ryšių tarp subjekto ir jo tiesioginių tiekėjų saugumo aspektus. Tai konkrečiai reiškia: turite sugebėti parodyti, kad pradėdami ir palaikydami tiekėjų santykius, vertinate, ar tas tiekėjas sudaro riziką jūsų pačių paslaugų teikimui. Aprašyta tiekėjų politika, turinti mažiausiai tris dalys, paprastai tai dengia: iš anksto nustatytą atrankos kriterijų (kokius reikalavimus keliате naujems tiekėjams), periodinę patikrą sutarties laikotarpiu ir eskalacijos procedūrą, jei tiekėjas praneša apie incidentą. Tai yra tas pats klausimas, kurį jūsų klientas pateikia jums pačiam dėl grandinės rizikos — čia jūs iš esmės įvedate savo pačių atsakymą, bet vienu lygiu gilyn tiekimo grandinėje.

Kas yra priimtinas kaip įrodymas, priklauso nuo to, koks yra jūsų proceso brandumas. Kontraktinis punktas, kuriame jūsų tiekėjas įsipareigoja laikytis tam tikrų saugumo reikalavimų, yra pradžia, bet ne patikra. Stipresnė yra klausimyna, kurią jūs patys siunčiate tiekėjams, susieta su paprastu rizikos žyma (žema/vidutinė/aukšta) pagal tai, ką tas tiekėjas mato arba liečia jūsų sistemose. Jei to neturite, teisingiausias atsakymas yra tas, kad jums dar reikia tą procesą suorganizuoti — o ne užpildyti „taip jūsų savoji įmonė patenka į direktyvą; net jei jūs patys nepatenkate tiesiogiai į NIS2, klientas gali to pareikalauti iš jūsų per grandinės įpareigojimą.

Iš kur tai kilęs: direktyva ir Nyderlandų įstatymas

Pareiga nurodyta Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies d punkte; Kibernetinio saugumo įstatymas tai transponuoja į Nyderlandų teisyną ir tikimasi, kad jis įsigalios 2026 m. rugpjūčio 15 d. ISO/IEC 27001 Priedas A apima panašią kontrolinę priemonę dėl tiekėjų santykių, o tai paaiškina, kodėl klientai, turintys ISO klausimyną, dažnai užduoda tą patį klausimą kaip klientai, nurodantys NIS2.