lista kontrolna pyta, jak zarządzamy ryzykami naszych dostawców

Bezpieczeństwo łańcucha dostaw jest jedną z dziesięciu obowiązkowych środków

To nie jest zwyczajna dodatkowa kwestia: bezpieczeństwo łańcucha dostaw jest wymieniane jako osobny element w artykule 21 ust. 2 dyrektywy NIS2, obok pozostałych dziewięciu środków, takich jak analiza ryzyka, obsługa incydentów i zarządzanie dostępem. Klient, który zadaje to pytanie, sprawdza, czy Twoja organizacja patrzy również wstecz: nie tylko na Twoje własne bezpieczeństwo, ale także bezpieczeństwo podmiotów, od których zależysz. Jest to spójne z wymogami bezpieczeństwa, które organizacja stawiała swoim dostawcom — ta sama zasada, jeden krok dalej w łańcuchu.

W praktyce zwykle pyta się o trzy rzeczy: czy masz politykę lub proces oceny dostawców pod kątem ryzyka cybernetycznego, czy stawiasz wymogi umowne (np. obowiązek zgłaszania incydentów, minimalne poziomy bezpieczeństwa), i czy monitorujesz to po podpisaniu umowy. Jeśli nie masz takiego procesu, "nie" z krótkim wyjaśnieniem to znakomita odpowiedź — lepiej niż "tak", którego nie możesz uzasadnić. Jeśli masz ocenę dostawców, ale bez osobnego modułu cyberbezpieczeństwa, określ to dokładnie: dokument dowodowy musi odpowiadać temu, co wpisujesz. Certyfikat ISO 27001 z Załącznikiem A zwykle obejmuje ten temat, więc jeśli organizacja jest certyfikowana ISO 27001 to często jest najszybszy dokument dowodowy do dostarczenia.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Dziesięć środków artykułu 21 ust. 2 dyrektywy NIS2 wymienia bezpieczeństwo łańcucha dostaw jako osobny punkt, niezależnie od ogólnej analizy ryzyka. ISO/IEC 27001 rozwija to dalej w środkach kontrolnych Załącznika A, konkretnie skierowanych na relacje z dostawcami i wymogi, jakie im stawiasz. Ustawa o cyberbezpieczeństwie implementuje to zobowiązanie do prawa polskiego i wchodzi w życie 15 sierpnia 2026 roku — na razie źródłem jest sama dyrektywa UE, a klient w praktyce często zadaje pytania już z wyprzedzeniem.