klausimynas klausia, kaip kontroliuojame mūsų tiekėjų rizikus

Grandinės saugumas yra viena iš dešimties privalomų priemonių

Tai nėra tiesiog papildomas klausimas: tiekimo grandinės saugumas kaip atskiras punktas išdėstytas 21 straipsnio 2 dalyje NIS2, šalia kitų devynių priemonių, tokių kaip rizikos analizė, incidentų valdymas ir prieigos kontrolė. Kliente, kuris tai klausia, patikrina, ar jūsų įmonė taip pat žiūri atgal: ne tik jūsų pačių saugumo, bet ir tų šalių, nuo kurių jūs priklausote. Tai atitinka saugumo reikalavimus, kuriuos įmonė pati kelia savo tiekėjams — tas pats principas, dar vienas žingsnis toliau grandinėje.

Praktiškai dažniausiai klausiama apie tris dalykus: ar turite politiką ar procesą tiekėjams vertinti pagal kibersaugumo riziką, ar keliatecontractiniai reikalavimai (pagalvokite apie pranešimo pareigą incidentų metu, minimalius saugumo lygius), ir ar to stebite dar po sutarties pasirašymo. Jei to proceso neturite, "ne" su trumpu paaiškinimu yra puikus atsakymas — geriau nei "taip", kurio negalite pagrįsti. Jei turite tiekėjo vertinimą, bet nėra atskiro kibernetinio elemento, tada nurodykite tiksliai taip: įrodymų dokumentas turi atitikti tai, ką nurodote. ISO 27001 sertifikatas su A priedu paprastai apima šią temą, todėl jei įmonė turi ISO 27001 sertifikatą , tai dažnai yra greičiausias įrodymo dokumentas pateikti.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Dešimt priemonių iš 21 straipsnio 2 dalies NIS2 nurodo grandinės saugumą kaip atskirą punktą, atskirtai nuo bendrosios rizikos analizės. ISO/IEC 27001 tai toliau detalizuoja A priedo valdymo priemonėmis, konkrečiai skirtas tiekėjo santykiams ir joms keliamoms reikalavimas. Kibernetinio saugumo įstatymas šią pareigą transpozuoja į Nyderlandų teisę ir įsigalioja 2026 m. rugpjūčio 15 d. — kol kas ES direktyva pati yra šaltinis, ir kliente praktikoje dažnai klausia iš anksto atsižvelgdama į tai.