vai mums ir jāuzdod tie paši kiberdrošības jautājumi mūsu pašu piegādātājiem

Jā, jo 21. panta 2. punkts to skaidri nosaka

Jā, vairumā gadījumu tas ir jāizdara. NIS2 direktīvas 21. panta 2. punkts nosauc desmit pasākumus, kurus entītija must veikt, un punkts (d) no tiem ir tieši par piegādes ķēdes drošību — tostarp sakarus ar katru piegādātāju vai pakalpojuma sniedzēju. Ja jūsu klients tātad jautā par ķēdes drošību, nepietiek tikai parādīt, ko jūs paši darāt. Jums arī jāspēj parādīt, ko jūs pieprasāt no saviem paša apakšuzņēmējiem un kā jūs to pārbaudāt.

Praksē tas parasti nozīmē pakāpenisku pieeju, nevis pilnīgu jūsu klienta anketas kopiju. Parasti pieprasiet: vai apakšuzņēmējam ir pamata pasākumi kārtībā (piekļuve, dublējumi, incidentu apstrāde), vai ir līgumisks noteikums par paziņošanu par incidentu gadījumā, un — kritiskiem piegādātājiem — vai ir pierādījumi, piemēram, ISO 27001 sertifikāts vai pašu paziņojums. Jo lielāka nozīme apakšuzņēmējam jūsu pakalpojumā klientam, jo konkrētākas prasības, kuras jūs varat pieņemt. Šis ir tas pats jautājums, ko jūs sak klients tagad uz jums par drošības prasības attiecībā uz pašu piegādātājiem — jūs esat ķēdes vidū, ne sākumā.

Kur tas atrodams direktīvā un standartā

Pati obligācija ir noteikta NIS2 direktīvas 21. panta 2. punkta (d) apakšpunktā, kur ķēdes drošība minēta kā viens no desmit obligātajiem pasākumiem. Nīderlandes praksē tas nozīmē Kiberbizumriskus likumu, NIS2 ieviešanu, kas stāsies spēkā 2026. gada 15. augustā — no tā brīža obligācija formāli attiecas arī uz Nīderlandes tiesībām uz entitātēm, uz kurām attiecas likums. Kas var pierādīt, ka tas ir sistēmiski ierīkots, bieži atsaucas uz ISO/IEC 27001 A pielikumu, kur piegādātāju attiecības un drošības aspekti piegādes ķēdē ir uzskaitīti kā atsevišķi kontroles pasākumi. Vai jūsu uzņēmums pats ir NIS2 direktīvas entitāte, ir atsevišķs jautājums, kas atšķiras no tā, ko jūsu klients no jums līgumiskas prasības; šo atšķirību aplūko jautājumā, vai uzņēmums ietilpst direktīvā.