ankieta pyta, jak kontrolujemy cyberbezpieczeństwo naszych własnych dostawców

Bezpieczeństwo łańcucha dostaw: co dokładnie chce wiedzieć klient

To pytanie dotyczy artykułu 21 ust. 2 lit. d dyrektywy NIS2: zabezpieczenia łańcucha dostaw, w tym relacji z każdym poszczególnym dostawcą. Klient chce zatem nie wiedzieć, czy sami jesteście bezpieczni, ale czy wymagacie tego i kontrolujecie to również u waszych dostawców. Konkretnie lista pytań zwykle szuka trzech rzeczy: czy włączyliście wymagania dotyczące bezpieczeństwa do umów z dostawcami, czy oceniacie dostawców przed ich zatrudnieniem i czy oceniacie ich okresowo. Odpowiedź typu "ufamy naszym dostawcom" nie stanowi dowodu dla tego pola — musi za tym stać proces.

Jeśli taki proces posiadacie, dowodem jest zwykle polityka dostawców lub klauzula w umowie standardowej, ewentualnie uzupełniona przeglądem przeprowadzonych ocen. Jeśli tego nie macie, wtedy "nie" jest tu uczciwą odpowiedzią — wypełnianie na podstawie założenia nie daje odpowiedzi twierdzącej, ponieważ dossier nie ma dla tego źródła. Ten temat jest zresztą powiązany z innym polem w tej samej liście pytań: czy przedsiębiorstwo stawia wymagania dotyczące bezpieczeństwa swoim własnym dostawcom jest często pytaniem osobno stawianym, ale dowody pokrywają się z tym, o co się tutaj pyta. Istotne jest również to, czy waszej własnej analizie ryzyka towarzyszą dostawcy jako osobna kategoria ryzyka; to nawiązuje do polityki dotyczącej analizy ryzyka i bezpieczeństwa informacji że jest on również pytany gdzie indziej na liście.

Podstawa: artykuł 21 ust. 2 i Załącznik A

Obowiązek wynika z artykułu 21 ust. 2 lit. d Dyrektywy (UE) 2022/2555, która wymienia bezpieczeństwo łańcucha dostaw jako jedną z dziesięciu obowiązkowych środków. ISO/IEC 27001 rozpracowuje to w Załączniku A, wśród środków kontrolnych dotyczących relacji z dostawcami: rozróżnia się tutaj wymogi na początkowym etapie relacji i okresowe monitorowanie. Dla przedsiębiorstw holenderskich ten sam obowiązek pojawia się ponownie w Ustawie o bezpieczeństwie cybernetycznym, która wchodzi w życie 15 sierpnia 2026 r. jako implementacja NIS2. Czy ten obowiązek dotyczy samego pana przedsiębiorstwa, zależy od tego, czy podlegają Państwo dyrektywie; to inne pytanie niż to, które jest tutaj zadawane, i zostało wyjaśnione osobno w czy przedsiębiorstwo samo podlega NIS2.