Vai uzņēmums nosaka drošības prasības saviem piegādātājiem?

Piegādes ķēde ir viens no desmit pasākumiem

Jā, vairumā gadījumu tas ir atbilstīgi atbildēt ar atsauci uz konkrētu piegādātāju politiku, nevis ar vispārēju pārliecināšanu. Jautājums nāk tieši no NIS2 direktīvas 21. panta 2. punkta, kur "piegādes ķēdes drošība" kā atsevišķs punkts parādās blakus pārējiem deviņiem pasākumiem. Klients tāpēc vēlas zināt ne to, vai jūs paši esat labi aizsargāti, bet vai jūs šo prasību nododat to pušu virzienā, no kurām jūs esat atkarīgi: hostinga piegādātājiem, programmatūras piegādātājiem, IT pakalpojumu sniedzējiem.

Konkrēti tas attiecas uz jautājumiem, piemēram: vai drošības prasības ir iekļautas kritisko piegādātāju līgumos, vai drošības līmeņa novērtēšana notiek iepirkuma vai onboarding procedūrā, un vai ir ieskats ķēdes atkarībās tālāk pa ķēdi. Uzņēmums, kurš pats ir izstrādājis informācijas drošības politiku — skatīt arī jautājumu par politikas riska analīzes un informācijas sistēmu drošības jomā — bieži jau ir izveidojis struktūru, kurā piegādātāju novērtēšana ir noteikta daļa. Ja tā trūkst, tad "nē" vai "daļēji" ir godīga atbilde; apsolījums par to, kas būtu jānotiek, šeit nav mūsu uzdevums.

Kur tas atrodas NIS2 direktīvas 21. panta 2. punktā

Direktīvas (ES) 2022/2555 21. panta 2. punkts min piegādes ķēdes drošību kā vienu no desmit pasākumiem, ko entītija ņemta, ieskaitant uzmanību attiecībai starp entītiju un tās tiešajiem piegādātājiem vai pakalpojumu sniedzējiem. Šis punkts bieži ir saistīts ar citiem pasākumiem no vienas saraksta: piegādātājs, kurš neatklāj ievainojamības, skar arī ievainojamības noteikšanas un novēršanas procesu, un incidents pie piegādātāja jāiet pa vienu un to pašu maršrutu kā incidents uzņēmumā. Vai šis jautājums vispār ir obligāts, ir atkarīgs no tā, vai pats uzņēmums ir direktīvas darbības loks — tas ir atsevišķs jautājums ar atsevišķu atbildi.