czy musimy stawiać te same pytania dotyczące cyberbezpieczeństwa naszym własnym dostawcom

Tak, bo artykuł 21 ust. 2 nakazuje to dosłownie

Tak, w większości przypadków trzeba to zrobić. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć środków, które musi podjąć jednostka, a punkt (d) odnosi się konkretnie do bezpieczeństwa łańcucha dostaw — w tym relacji z każdym dostawcą lub usługodawcą i między nimi. Jeśli zatem Twój klient pyta o bezpieczeństwo łańcucha, nie wystarczy wykazać, co robisz Ty sam. Musisz także móc wykazać, co wymagasz od swoich podwykonawców i jak to kontrolujesz.

W praktyce zwykle oznacza to podejście wielowarstwowe, a nie kopię całej listy kontrolnej Twojego klienta. Ze swojej strony zwykle pytasz: czy podwykonawca ma podstawowe środki w porządku (dostęp, kopie zapasowe, obsługa incydentów), czy istnieje umowna klauzula o obowiązku zgłaszania incydentu, a — w przypadku krytycznych dostawców — czy istnieją dowody, takie jak certyfikat ISO 27001 lub własne oświadczenie. Im większą rolę odgrywa podwykonawca w świadczeniu usług na rzecz klienta, tym bardziej szczegółowe wymagania możesz przekazać. To samo pytanie, które Twój klient stawia Tobie w sprawie wymagania dotyczące bezpieczeństwa własnych dostawców — jesteś tu w środku łańcucha, nie na jego początku.

Gdzie to znajduje się w dyrektywie i normie

Obowiązek wynika z artykułu 21 ust. 2 lit. (d) dyrektywy NIS2, która wymienia bezpieczeństwo łańcucha jako jeden z dziesięciu obowiązkowych środków. W praktyce holenderskiej znajduje to odzwierciedlenie w ustawie o cyberbezpieczeństwie, implementacji NIS2, która wchodzi w życie 15 sierpnia 2026 r. — od tego momentu obowiązek ma zastosowanie również formalnie na mocy prawa niderlandzkiego dla jednostek podlegających ustawie. Ci, którzy mogą wykazać, że jest to systematycznie wdrożone, często odnoszą się do Załącznika A normy ISO/IEC 27001, gdzie relacje dostawcy i bezpieczeństwo w łańcuchu dostaw są wymienione jako odrębne środki kontroli. To, czy Twoja firma sama podlega dyrektywie NIS2 jako jednostka, to odrębna kwestia niezwiązana z tym, co Twój klient umownie od Ciebie wymaga; różnica ta jest omawiana w pytaniu, czy przedsiębiorstwo podlega dyrektywie.