Czy przedsiębiorstwo stawia wymagania bezpieczeństwa swoim dostawcom?

Łańcuch dostaw jest jednym z dziesięciu środków

Tak, w większości przypadków jest to istotne, aby odpowiedzieć odwołując się do konkretnej polityki wobec dostawców, a nie do ogólnych zapewnień. Pytanie pochodzi bezpośrednio z artykułu 21 ust. 2 dyrektywy NIS2, gdzie "bezpieczeństwo łańcucha dostaw" wymieniane jest jako oddzielny punkt obok pozostałych dziewięciu środków. Klient chce zatem wiedzieć nie tyle, czy sami jesteście dobrze zabezpieczeni, ale czy wymaganie to przekazujecie stronom, od których jesteście zależni: dostawcom usług hostingowych, dostawcom oprogramowania, dostawcom usług IT.

Konkretnie chodzi o pytania takie jak: czy umowy z krytycznymi dostawcami zawierają wymagania w zakresie bezpieczeństwa, czy podczas postępowania zamówień publicznych lub onboardingu przeprowadza się ocenę poziomu bezpieczeństwa, oraz czy istnieje wgląd w zależności dalej w łańcuchu dostaw. Przedsiębiorstwo, które samo posiada politykę bezpieczeństwa informacji — patrz również pytanie dotyczące polityki analizy ryzyka i bezpieczeństwa systemów informatycznych — często ma już ramy, w których ocena dostawców stanowi stałą część. Jeśli to brakuje, wówczas "nie" lub "częściowo" jest uczciwą odpowiedzią; zobowiązanie dotyczące tego, co powinno się zdarzyć, nie jest dla nas właściwe.

Gdzie to określone jest w artykule 21 ust. 2 NIS2

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia bezpieczeństwo łańcucha dostaw jako jedną z dziesięciu środków, które podmiot musi podjąć, w tym uwagę na relację między podmiotem a jego bezpośrednimi dostawcami lub usługodawcami. Punkt ten często wiąże się z innymi środkami z tej samej listy: dostawca, który nie zgłasza luk, narusza również proces wykrywania i usuwania luk, a incydent u dostawcy musi przebiegać tą samą drogą co incydent w samym przedsiębiorstwie. To, czy to pytanie w ogóle jest obowiązkowe, zależy od tego, czy samo przedsiębiorstwo podlega dyrektywie — to odrębne pytanie z własną odpowiedzią.