jautājumā tiek vaicāts, kā mēs kontrolējam mūsu piegādātāju drošību

Piegādes ķēdes drošība: jūsu klients jautā tālāk par jūsu patstāvīgajiem piegādātājiem

Šis jautājums attiecas uz NIS2 21. panta 2. punkta d) apakšpunktu: piegādes ķēdes drošību, tostarp attiecības ar katru tiešo piegādātāju vai pakalpojumu sniedzēju. Jūsu klients vēlas zināt ne tikai to, kā paši esat drošībā, bet arī to, kā jūs to nodrošiniet saviem apakšuzņēmējiem. Konkrēti parasti tiek jautāts, vai drošības prasības iekļaujat līgumos, vai iepriekš novērtējat piegādātājus un vai periodski pārbaudāt, vai viņi šīs prasības ievēro.

Ja neesat formāli noteikusi šo procesu, godīgākā atbilde ir, ka to darāt neformāli — piemēram, izmantojot līguma klauzulas bez strukturētas novērtēšanas — vai vēl nedarāt. Atbildes "jā" aizpildīšana, jo tas izklausās loģiski, nepalīdz: ja jūsu klients jautā tālāk par parauga līgumu vai piegādātāju sarakstu ar riska punktuāciju, tam jābūt pieejamam. Tas pats jautājums bieži parādās nedaudz citā formā, un tas ir, vai uzņēmums drošības prasības nostiprina saviem paša piegādātājiem — tas ir faktiski tas pats pienākums, bet atdalīts no līguma jautājuma. Tāpēc ir lietderīgi formulēt vienu atbildi, ko varat atkārtoti izmantot vairākos sarakatos.

Kur tas nāk no: NIS2 21. panta 2. punkts un A pielikums A.5.19-21

Juridiskais pamats ir NIS2 direktīvas 21. panta 2. punkta d) apakšpunkts, viens no desmit obligātajiem pasākumiem, kas tur minēti. Nīderlandes praksei tas atspoguļojas Kiberdrošības likumā, NIS2 transponēšanā, kas stāsies spēkā 2026. gada 15. augustā — jūsu klienta jautājums bieži nozīmē, ka tas jums pašiem kļūs obligāts vēlāk, ja vien jūs jau neietilpat direktīvā caur NIS2 ņemtas vienības definīciju. Tie, kas piemēro ISO/IEC 27001, atpazīs to pašu prasību pielikumā A, kontroles pasākumos saskaņā ar A.5.19 līdz A.5.21 par piegādātāju attiecībām un drošības prasībām, kas tajās noteiktas. Abi avoti būtībā prasa vienu un to pašu: ne tikai zināt, kas ir jūsu piegādātāji, bet arī pierādāmi uzraudzīt viņu drošības līmeni.