jautājumkopa jautā, kā mēs pārbaudām mūsu piegādātāju kiberdrošību

Piegādes ķēdes drošība: ko klients precīzi vēlas zināt

Šis jautājums attiecas uz NIS2 direktīvas 21. panta 2. punkta d) apakšpunktu: piegādes ķēdes drošību, ieskaitant attiecības ar katru atsevišķu piegādātāju. Klients tātad nevēlas zināt, vai jūs paši esat droši, bet vai jūs to prasāt un pārbaudāt arī saviem piegādātājiem. Konkrēti jautājumlaista parasti meklē trīs lietas: vai esat iekļāvuši drošības prasības piegādātāju līgumos, vai novērtējat piegādātājus pirms viņu iesaistīšanas, un vai tos periodiskai pārvērtējat. Atbilde tāda kā "mēs uztiramies saviem piegādātājiem" šim laukam nav pierādījums — aiz tā ir jābūt procesam.

Ja jums ir šis process, pierādījums parasti ir piegādātāju politika vai klauzula standarta līgumā, iespējams, papildināta ar veikto novērtējumu pārskatu. Ja jums tā nav, tad "nē" ir godīga atbilde — aizpildīšana pieņēmuma pamatā neparedz "jā", jo dossiejam par to nav avota. Šis temats, starp citu, ir saistīts ar citu lauku tajā pašā jautājumlaistā: vai uzņēmums izvirza drošības prasības saviem piegādātājiem bieži vien ir atsevišķi uzdots jautājums, bet pierādījumi pārklājas ar to, kas šeit tiek prasīts. Tāpat ir svarīgi, vai jūsu paša riska analīzē piegādātāji tiek ņemti vērā kā atsevišķa riska kategorija; tas saskan ar politiku riska analīzei un informācijas drošībai kas citviet jautājumlaistā tiek noskaidrota.

Pamatojums: direktīvas 21. panta 2. punkts un A pielikums

Pienākums izriet no Direktīvas (ES) 2022/2555 21. panta 2. punkta d) apakšpunkta, kurā piegādes ķēdes drošība minēta kā viena no desmit obligātajiem pasākumiem. ISO/IEC 27001 to izstrādā A pielikumā piegādātāju attiecību kontroles pasākumos: tur tiek izdarīts atšķirums starp prasībām attiecības sākumā un periodisko uzraudzību. Nīderlandes uzņēmumiem tāds pats pienākums atgriežas Kiberdrošības likumā, kas stājas spēkā 2026. gada 15. augustā kā NIS2 transponēšana. Vai šis pienākums attiecas uz jūsu paša uzņēmumu, ir atkarīgs no tā, vai jūs ietilpstat direktīvā; tas ir cits jautājums nekā tas, kas šeit tiek noskaidrots, un tas ir atsevišķi izskaidrots pie vai uzņēmums pats ietilpst NIS2 tvērumā.