klient pyta, jak zarządzamy dostępem zewnętrznych dostawców

Dostęp dla zewnętrznych dostawców jest częścią artykułu 21 ust. 2

To pytanie dotyczy tego, jak zarządzacie dostępem stron trzecich do waszych systemów i danych, a to jednocześnie dotyczy dwóch z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: punktu (i), polityki dostępu, i punktu (d), bezpieczeństwa łańcucha dostaw wobec dostawców. Zamawiający chce zatem wiedzieć nie tylko, czy strony zewnętrzne mają dostęp, ale także jak ten dostęp jest ograniczony, kto go przyznaje i odbiera, oraz czy ten proces jest udokumentowany. Odpowiedź taka jak "dostawcy otrzymują dostęp tylko po zatwierdzeniu" jest zbyt niejasna bez wyjaśnienia, jak ta procedura zatwierdzenia przebiega i jak często jest sprawdzana.

To, co konkretnie potrzebujecie: opis procesu autoryzacji dla kont zewnętrznych, najlepiej z uwzględnieniem zasady najmniejszych uprawnień (dostęp ograniczony do tego, co niezbędne) i okresu, w którym dostęp jest sprawdzany lub wycofywany po zakończeniu zlecenia. Jeśli brakuje tego procesu, to "nie" jest tu uczciwą odpowiedzią — sugestywne "tak" bez leżącego u jego podstaw dokumentu powoduje przy kontroli zamawiającego więcej szkód niż "nie" z wyjaśnieniem, że polityka jest w opracowaniu. Temat ten pokrywa się z polityką dostępu i zarządzaniem zasobami firmy, gdzie szersze struktury autoryzacji są omawianie, i z pytaniem czy przedsiębiorstwo stawia wymagania swoim własnym dostawcom, ponieważ w praktyce zarządzanie dostępem zewnętrznym często jest częścią tej samej polityki łańcucha dostaw.

Gdzie to się znajduje: artykuł 21 ust. 2, punkty (d) i (i)

Artykuł 21 ust. 2 dyrektywy (UE) 2022/2555 wymienia pod punktem (i) "politykę kontroli dostępu" jako jeden z dziesięciu obowiązkowych środków, a pod punktem (d) bezpieczeństwo łańcucha dostaw, w tym relacje z dostawcami — dostęp zewnętrzny podlega obu. W załączniku A normy ISO/IEC 27001 odpowiednie działania kontrolne do zarządzania dostępem i relacji z dostawcami są opracowane na poziomie kontroli, co wyjaśnia, dlaczego zamawiający często pyta o konkretny numer kontroli Załącznika A zamiast o sam tekst dyrektywy. Dla przedsiębiorstw, które podlegają holenderskiej transpozycji, ten obowiązek powraca w Ustawie o bezpieczeństwie cybernetycznym, która wchodzi w życie 15 sierpnia 2026 r.