klausimynas klausia, kaip kontroliuojame mūsų tiekėjų kibernetinio saugumo priemones

Tiekėjų grandinės saugumas: ką tiksliai nori sužinoti klientas

Šis klausimas susijęs su NIS2 direktyvos 21 straipsnio 2 dalies d punktu: tiekėjų grandinės saugumo, įskaitant ryšius su kiekvienu atskirai pasirinktų tiekėju. Klientas nori sužinoti ne tai, ar jūs patys saugūs, o ar tai reikalaujate ir kontroliuojate iš jūsų tiekėjų. Konkrečiai klausimynas dažniausiai ieško trijų dalykų: ar įtraukėte saugumo reikalavimus į sutartis su tiekėjais, ar įvertinate tiekėjus prieš juos pasitelkdami ir ar juos periodiškai periniate. Atsakymas, tokis kaip "mes pasitikime savo tiekėjais", šiam laukui nėra įrodymas — turi būti procesas.

Jei turite tą procesą, įrodymą paprastai sudaro tiekėjų politika ar sąlyga standartinėje sutartyje, gerinant tai susumuojus atliktos įvertinimo apžvalgą. Jei to neturite, tada čia sąžiningas atsakymas yra "ne" — pildymas remiantis prielaida neatneš "taip", nes to laukelio dossier neturi šaltinio. Šis klausimas, beje, susietas su kitu lauku toje pačioje klausimyne: ar į įmonę keliami saugumo reikalavimai jos pačios tiekėjams dažnai yra atskiras klausimas, tačiau įrodinėjimas sutampa su tuo, kas čia klausiama. Taip pat svarbu, ar jūsų pačios rizikos analizė tiekėjus laiko atskira rizikos kategorija; tai derėtų prie rizikos analizės ir informacijos saugumo politikos kuri kitur klausimyne klausiama.

Pagrindas: 21 straipsnio 2 dalis ir A priedas

Pareiga kyla iš Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies d punkto, kuriame tiekėjų grandinės saugumas minimas kaip viena iš dešimties privalomų priemonių. ISO/IEC 27001 tai išplečia A priede, tarp kontrolės priemonių tiekėjų santykiams: ten skiriama ryšio pradžioje keliami reikalavimai nuo periodinės stebėsenos. Niderlandų įmonėms ta pati pareiga atsispindi Kibernetinio saugumo įstatyme, kuris įsigalioja 2026 m. rugpjūčio 15 d. kaip NIS2 transpozicija. Ar ši pareiga taikoma jūsų įmonei pačiai, priklauso nuo to, ar jūs patenka į direktyvos taikymo sritį; tai yra kitas klausimas nei tas, kuris čia klausiamas, ir atskirai paaiškinti ties ar įmonė pati patenka į NIS2.