musimy wykazać, że sprawdzamy naszych dostawców pod kątem bezpieczeństwa, jak to zrobić

Bezpieczeństwo łańcucha: co wymaga artykuł 21 ust. 2 lit. d

Artykuł 21 ust. 2 lit. d dyrektywy NIS2 wymienia bezpieczeństwo łańcucha dostaw jako jeden z dziesięciu obowiązkowych środków, w tym aspekty bezpieczeństwa relacji między jednostką a jej bezpośrednimi dostawcami. W praktyce oznacza to: musisz być w stanie wykazać, że przy nawiązywaniu i utrzymywaniu relacji z dostawcami oceniasz, czy dostawca stanowi ryzyko dla twojej własnej działalności. Opracowana polityka dostawców obejmująca co najmniej trzy elementy zwykle to pokrywa: wstępne kryterium wyboru (jakie wymogi stawiasz nowym dostawcom), okresową ocenę w trakcie trwania umowy i ścieżkę eskalacji, jeśli dostawca zgłosi incydent. To jest to samo pytanie, które zadaje ci twój klient o ryzyku łańcucha — w istocie wypełniasz tutaj własną odpowiedź, ale o jeden poziom głębiej w łańcuchu.

To, co liczy się jako dowód, zależy od tego, jak dojrzały jest twój proces. Klauzula umowna, w której twój dostawca zobowiązuje się do spełnienia określonych wymagań bezpieczeństwa, jest punktem wyjścia, ale nie oceną. Silniejsze jest pytanie, które sam wysyłasz do dostawców, połączone z prostą etykietą ryzyka (niskie/średnie/wysokie) na podstawie tego, co dostawca widzi lub dotyka w twoich systemach. Jeśli tego nie masz, to najuczciwsza odpowiedź to że musisz jeszcze wdrożyć proces — nie że wypełniasz "tak" dla klauzuli umownej, która nie ma znaczenia. Uwaga: to jest inne pytanie niż czy twoja własna organizacja podlega dyrektywie; nawet jeśli ty sam nie podlegasz bezpośrednio NIS2, klient może to żądać od ciebie poprzez obowiązek łańcucha.

Skąd to pochodzi: dyrektywa i prawo holenderskie

Obowiązek znajduje się w artykule 21 ust. 2 lit. d Dyrektywy (UE) 2022/2555; Ustawa o bezpieczeństwie cybernetycznym implementuje to do prawa holenderskiego i ma wejść w życie około 15 sierpnia 2026 roku. ISO/IEC 27001 Annex A zawiera porównawczy środek kontrolny dotyczący relacji z dostawcami, co wyjaśnia, dlaczego klienci z listą kontrolną ISO často zadają takie samo pytanie jak klienci powołujący się na NIS2.