klient pyta, jak jesteśmy chronieni przed atakami poprzez naszych dostawców

To pytanie dotyczy artykułu 21 ust. 2 lit. d, a nie całej polityki bezpieczeństwa

To pytanie dotyczy konkretnie bezpieczeństwa łańcucha dostaw: co robicie, aby zapobiec, by słaba strona u waszych dostawców umożliwiła atak na was. Jest to jeden z dziesięciu środków zawartych w artykule 21 ust. 2 dyrektywy NIS2, obok analizy ryzyka, obsługi incydentów i kryptografii. Pytający chce zatem wiedzieć nie, jak zabezpieczeni są wasi własni systemy — to inne pytanie na liście — ale jak macie kontrolę nad ryzykami, które przychodzą od strony trzeciej.

Konkretny dowód na to zwykle składa się z trzech elementów: ocena dostawcy przed zawarciem umowy, wymagania bezpieczeństwa ustalone w umowie (pomyślcie o umowie na przetwarzanie danych lub oddzielnym załącznikiem do kwestii bezpieczeństwa) oraz przegląd tego, którzy dostawcy mają dostęp do których systemów lub danych. Jeśli tego nie macie, to "nie" jest uczciwą odpowiedzią — lista dostawców bez leżących u podstaw wymagań nie jest dowodem kontroli. Jeśli chcecie głębiej spojrzeć na to, co klient dokładnie ma na myśli pytając to pytanie, pomaga sprawdzenie, czy przedsiębiorstwo stawia wymogi bezpieczeństwa swoim własnym dostawcom zostało osobno opracowane w dokumentacji łańcucha, niezależnie od tego, czy sami podlegacie dyrektywnie.

Jeśli jesteście certyfikowani zgodnie z ISO 27001, odpowiedź jest już często gotowa: Załącznik A zawiera konkretny środek kontrolny dla relacji z dostawcami (A.5.19 do A.5.22 w wersji z 2022 r.), a auditor już to sprawdził. Bez certyfikatu odpowiedź nie jest automatycznie "nie" — chodzi o to, co faktycznie robicie, a nie o stempel. W razie wątpliwości sprawdzić, czy przedsiębiorstwo posiada certyfikat ISO 27001 zostało już zapisane w dokumentacji, co zaoszczędzi wyjaśniania przy tym pytaniu.

Skąd to pochodzi: artykuł 21 ust. 2 lit. d dyrektywy NIS2

Artykuł 21 ust. 2 lit. d dyrektywy (UE) 2022/2555 wyraźnie wymienia "bezpieczeństwo łańcucha dostaw" jako obowiązkową część zarządzania ryzykiem, w tym relacje z poszczególnymi dostawcami. Ustawa o cyberbezpieczeństwie przejmuje to zobowiązanie po wejściu w życie; do tego czasu pytanie może już pojawić się, ponieważ klient sam podlega dyrektywnie i przekazuje to w łańcuchu, choć sami nie jesteście jednostką podlegającą NIS2.