klients jautā, kā mēs esam aizsargāti pret uzbrukumiem caur mūsu piegādātājiem

Šis jautājums attiecas uz 21. panta 2. punkta d) apakšpunktu, nevis uz visu jūsu drošības politiku

Šis jautājums ir vērsts uz piegādes ķēdes drošības nozari: kas jūs darāt, lai novērstu, ka vāja vieta jūsu piegādātāja iekārtā iespējotu uzbrukumu jums. Tas ir viens no desmit pasākumiem no NIS2 21. panta 2. punkta, līdzās cita starpā riska analīzei, incidentu apstrādei un kriptogrāfijai. Jautājuma uzdodētājs tātad negrib uzzināt, kā jūsu paši sistēmas ir aizsargātas — tas ir vēl viens jautājums sarakstā —, bet kā jūs pārvaldāt riskus, kas nāk caur trešo personu

Konkrēts pierādījums tam parasti sastāv no trim daļām: piegādātāja novērtēšana pirms līguma noslēgšanas, drošības prasības, kas ir fiksētas līgumā (domājiet uz datu apstrādes līgumu vai atsevišķu drošības pielikumu), un pārskats par to, kuriem piegādātājiem ir piekļuve kurām sistēmām vai datiem. Ja jums to nav, tad "nē" ir godīga atbilde — piegādātāju saraksts bez pamatā esošajām prasībām nav kontroles pierādījums. Ja vēlaties padziļinātāk apskatīt, ko klients precīzi domā ar šo jautājumu, tad tas palīdz redzēt, vai uzņēmums drošības prasības nostiprina saviem paša piegādātājiem ir atsevišķi izstrādāti ķēdes dossijā, neatkarīgi no jautājuma, vai jūs paši ietilpstat direktīvas darbības jomā

Ja jūs esat sertificēti pēc ISO 27001, atbilde bieži jau ir gatava: Pielikumā A ir atsevišķs kontroles pasākums piegādātāju attiecībām (A.5.19 līdz A.5.22 2022. gada versijā), un revidents to jau reizi ir pārbaudījis. Bez sertifikata atbilde ne automātiski nav "nē" — tas ir par to, ko jūs faktiski darāt, nevis par atzīmi. Ja rodas šaubas, pārbaudiet, vai uzņēmums ir ISO 27001 sertificēts tas jau ir fiksēts dossierā, kas ietaupa izmeklēšanas darbu šim jautājumam.

Kur tas nāk: Direktīvas (ES) 2022/2555 21. panta 2. punkts d apakšpunkts

Direktīvas (ES) 2022/2555 21. panta 2. punkts d apakšpunkts skaidri norāda "piegādes ķēdes drošību" kā obligātu riska pārvaldības sastāvdaļu, ieskaitant attiecības ar atsevišķiem piegādātājiem. Kiberdrošības likums pārņem šo pienākumu, kad likums stājas spēkā; līdz tam brīdim jautājums jau var parādīties, jo jūsu klients pats jau ietilpst direktīvā un to izplatīja ķēdē, pat ja jūs paši neesat NIS2 entītija.