ar mes turime užduoti tas pačias kibernetinio saugumo klausimus mūsų tiektuvams

Taip, nes 21 straipsnio 2 dalis to reikalautina aiškiai

Taip, daugeliu atveju tai turi būti padaryta. 21 straipsnio 2 dalis NIS2 direktyvos nustato dešimt priemonių, kurias turi imtis subjektas, o jo d) punktas konkrečiai susijęs su tiekimo grandinės apsauga — įskaitant ryšius su kiekvienu tiekėju ar paslaugų teikėju ir jų tarpe. Jei jūsų klientas taigi klausia apie tiekimo grandinės saugumą, nepakanka parodyti, ką darysite patys. Taip pat turite galėti parodyti, kokius reikalavimus kelysite savo subrangovams ir kaip juos kontroliuosite.

Praktikoje tai dažniausiai reiškia sluoksnuotą požiūrį, o ne viso jūsų kliento klausimyno kopiją. Iš savo pusės paprastai reikalaujate: ar subrangovas turi pagrindinės saugos priemones (prieiga, atsarginės kopijos, incidentų tvarkymą), ar yra sutartyje nuostata dėl pranešimo pareigos incidento atveju, ir — esant kritiniams tiekėjams — ar yra įrodymas, pavyzdžiui, ISO 27001 sertifikat arba savų deklaracija. Kuo reikšmingesnį vaidmenį subrangovas atlieka jūsų paslaugų teikime klientui, tuo konkrečiau galite kelyti reikalavimus. Tai yra tas pats klausimas, kurį dabar jūsų klientas jums stato apie saugumo reikalavimus savoms tiekėjams — čia jūs esate grandinės viduryje, o ne pradžioje.

Kur tai yra richtlinėje ir standarte

Pats įpareigojimas nustatytas NIS2 direktyvos 21 straipsnio 2 dalyje, d) punkte, kuriame tiekimo grandinės apsauga nurodoma kaip viena iš dešimties privalomų priemonių. Nyderlandų praktikoje tai išsidėsto į Kibernetinio saugumo įstatymą, NIS2 transpoziciją, kuri įsigalios 2026 m. rugpjūčio 15 d. — nuo to momento įpareigojimas iš esmės galioja pagal Nyderlandų teisę subjektams, kurie patenka į įstatymo taikymo sritį. Kurie gali parodyti, kad tai yra sistemingai sutvarkyta, dažnai nurodo ISO/IEC 27001 A priedą, kuriame tiekėjų santykiai ir tiekimo grandinės apsauga yra išskirtai nustatytos kontrolės priemonės. Tai, ar jūsų organizacija pati pagal NIS2 direktyvą patenka kaip subjektas, yra atskiras klausimas, kuris yra atskirai nuo to, ką jūsų klientas iš jūsų reikalauja pagal sutartį; šis skirtumas aptariamas klausimu, ar organizacija patenka į direktyvos taikymo sritį.