jautājumā tiek vaicāts, kā mēs kartējam risikus mūsu ķēdē

Ķēdes riski skar divus dažādus jautājumus

Praktiskā līmenī jautājums par piegādes ķēdes riskiem vienlaikus uzdod divas lietas, un jautājumnika bieži vien neatdala šo atšķirību skaidri. Pirmkārt: vai uzņēmumam pašam ir skaidrs redzējums par riskiem, kas nāk caur tā pašu piegādātājiem un pakalpojumu sniedzējiem — piemēram, IT-piegādātājs ar piekļuvi tīklam vai trešās puses programmaparogramatūras komponents. Otrkārt: vai uzņēmums izvirza prasības šiem piegādātājiem un tos kontrolē. Otrais punkts pārklājas ar jautājumu, vai uzņēmums izvirza drošības prasības saviem piegādātājiem — bieži tas ir burtiski jau tā pati jautājuma, tikai cipitā vietā sarakstā atkārtots ar citiem vārdiem.

Kas ir sertificēts pēc ISO/IEC 27001, parasti var atsaukties uz drošības pasākumiem piegādātāju attiecībām no A pielikuma — tie ir īpaši paredzēti šai daļai, un revizoris tos jau ir novērtējis. Bez sertifikata atbilde automātiski nav "nē": nozīmīgi ir tas, vai pastāv riska analīze, kurā piegādātāji ir iekļauti kā uzmanības punkts, pat ja tā ir neformāla. Tas saskan ar plašāku jautājumu par risku analīzes politikukur ķēdes riski tipiski ir viena paragrāfs, nevis atsevišķs dokuments. Ja neko nav dokumentēts, tad "nē" ir godīgā atbilde — "jā" pasniegšana bez riska analīzes, līguma klauzulas vai piegādātāju saraksta pamatbāzes neizbēgti tiks apšaubīta, ja klients pieprasa pierādījuma dokumentu.

No kurienes tas nāk: NIS2 21. pants 2. punkts

Ķēdes drošības jautājums ir atsevišķi minēts NIS2 direktīvas 21. panta 2. punktā, starp desmit pasākumiem, kas tur ir uzskaitīti. Kurš pats ietilpst direktīvā — vai drīz pēc tam Kiberdrošības likumā, Nīderlandes transponējumā, kas stājas spēkā 2026. gada 15. augustā — tas nav pēc izvēles daļa, bet viens no obligātajiem pasākumiem. Kurš tur neietilpst, bet tomēr saņem jautājumu no klienta, tas parasti ir vienāda pienākuma pārnese: klients pats mērķī pierādīt, ka viņš kontrolē savu ķēdi, tāpēc to prasa tālāk.