lista kontrolna pyta, jak zmapowaliśmy ryzyka w naszym łańcuchu dostaw

Ryzyka łańcucha dostaw dotyczą dwóch różnych pytań

Pytanie dotyczące ryzyk w łańcuchu dostaw w praktyce dotyczy jednocześnie dwóch aspektów, a lista pytań często nie robi tego rozróżnienia wprost. Po pierwsze: czy przedsiębiorstwo ma wgląd w ryzyka, które napływają przez jego własnych dostawców i usługodawców — pomyśl o dostawcy IT mającym dostęp do sieci lub komponencie oprogramowania od strony trzeciej. Po drugie: czy przedsiębiorstwo stawia wymogi tym dostawcom i je kontroluje. Ten drugi punkt pokrywa się z pytaniem, czy przedsiębiorstwo stawia wymogi dotyczące bezpieczeństwa swoim dostawcom — często jest to dosłownie to samo pytanie, tylko gdzie indziej na liście postawione ponownie innymi słowami.

Ci, którzy posiadają certyfikat ISO/IEC 27001, mogą zwykle powołać się na środki kontroli dla relacji z dostawcami z Dodatku A — są one przewidziane specjalnie dla tej części, a audytor je już ocenił. Bez certyfikatu odpowiedź nie musi automatycznie brzmieć "nie": istotne jest, czy istnieje analiza ryzyka, w której dostawcy zostali uwzględnieni jako punkt uwagi, nawet jeśli jest ona nieformalna. To jest zgodne z szersze pytanie dotyczące polityki analizy ryzyka, gdzie ryzyka łańcucha dostaw to zazwyczaj paragraf, a nie odrębny dokument. Jeśli nic nie zostało udokumentowane, wtedy "nie" to uczciwa odpowiedź — przedstawienie odpowiedzi "tak" bez analizy ryzyka, klauzuli umowy lub przeglądu dostawców w podstawach nie utrzyma się, gdy klient zażąda dokumentu potwierdzającego.

Skąd to pochodzi: artykuł 21 ust. 2 NIS2

Bezpieczeństwo łańcucha dostaw jest wymieniane jako osobny element w artykule 21 ust. 2 dyrektywy NIS2, wśród dziesięciu środków tam wymienionych. Dla tych, którzy sami podlegają dyrektywie — lub wkrótce ustawie o cyberbezpieczeństwie, polskiej implementacji wchodzącej w życie 15 sierpnia 2026 r. — nie jest to element fakultatywny, lecz jeden z obowiązkowych środków. Dla tych, którzy jej nie podlegają, ale otrzymają jednak to pytanie od klienta, zwykle jest to przekazanie tej samej wymogi: klient musi sam móc wykazać, że kontroluje swój łańcuch dostaw, i dlatego pyta o to dalej.