il-questionnariu jistaqsi kif inniena niċċekkjaw il-cybersecurity tal-leveranzieri stess tiegħna

Sigurezza tal-katina tal-provvista: dak li l-klijent verament jrid jaf

Din il-kwistjoni tidwerni l-artikolu 21 paragrafu 2 sottolettera d tal-NIS2: il-protezzjoni tal-katina tal-provvista, inklużi r-relazzjoni ma' kull fornitur individwali. Għalhekk il-klijent ma jridx jaf jekk inti nnifsk inti sigur, iżda jekk inti tressaq u niċċekkja l-istess minn il-fornituri tiegħek. Konkretament, il-lista ta' mistoqsija ġeneralment tfittex tliet affarijiet: għandek inkorporat il-ħtiġijiet ta' sigurezza fil-kuntratti mal-fornituri, għandek ivvalwa l-fornituri qabel ma taħtihom, u għandek tuvalutahom mill-ġdid mill-ewwel. Risposta bħal "aħna nfiduha fil-fornituri tiegħna" mhix prova għal dan il-qasam — jeħtieġ li jkun hemm proċess wara.

Jekk għandek dak il-proċess, il-prova ġeneralment tkun politika tal-fornituri jew klawzola fil-kuntratt standard, eventwalment supplimentata b'deskrizzjoni ta' valutazzjonijiet iffatti. Jekk m'għandekx dan, allura "le" hawn l-risposta onesta — li timla fuq il-bażi ta' suppożizzjoni ma ttegħixix "iva", għax il-fajl m'għandux sors għal dan. Dan is-suġġett tal-mistaħ, inkidentalment, ma' qasam ieħor fl-istess lista ta' mistoqsija: jekk il-kumpanija tistabbilisx ir-rekwiżiti ta' sigurezza mal-fornituri tiegħa stess ħafna drabi hija kwistjoni stabbilita separata, iżda l-prova tivvarja mad-deskrizzjoni ta' dak li jinstab hawn. Rilevanti wkoll jekk l-analiżi tal-riskju tiegħek tieħu l-fornituri bħala kategurija ta' riskju separata; dan jikkonforma ma' il-politika għall-analiżi tal-riskju u l-protezzjoni tal-informazzjoni li ġejjin li jitqassmu fl-istess lista.

Il-Bażi: artikolu 21 paragrafu 2 u l-Anness A

L-obbligu jirriżulta mill-artikolu 21 paragrafu 2 sottolettera d tad-Direttiva (UE) 2022/2555, li tniedi l-sigurezza tal-katina bħala waħda minn għaxar miżuri obbligatorji. ISO/IEC 27001 jisvinterpreta dan fl-Anness A, taħt il-miżuri ta' kontroll għal relazzjonijiet mal-fornituri: hemmhekk issir distinzjoni bejn ir-ħtiġijiet fl-inbidu tar-relazzjoni u l-monitoraġġ perjodiku. Għall-impriżi Olandiżi, l-istess obbligu jerġa' jidhur fil-Cybersecurity Act, li jidħal f'iffett fil-15 ta' Awwissu 2026 bħala traspożizzjoni tal-NIS2. Jekk dan l-obbligu japplikax għall-impriża tiegħek nnifsha, jiddependi minn jekk inti taqa' taħt id-Direttiva; din hija kwistjoni differenti minn dik li titqas hawn, u hija spjegata separatament f' jekk il-kumpanija nnifsha taqa' taħt in-NIS2.