trebuie să demonstrez că verificăm furnizori pe cybersecuritate, cum fac asta

Securitatea lanțului de aprovizionare: ceea ce cere articolul 21 alineatul 2 litera d

Articolul 21 alineatul 2 litera d din Directiva NIS2 menționează securitatea lanțului de aprovizionare ca una dintre cele zece măsuri obligatorii, inclusiv aspectele de securitate ale relațiilor dintre entitate și furnizorii săi direcți. Concret, aceasta înseamnă: trebuie să poți demonstra că atunci când încheii și menții relații cu furnizorii, evaluezi dacă acel furnizor constituie un risc pentru propriul tău serviciu. O politică de furnizori detaliată cu minimum trei componente acoperă de obicei aceasta: un criteriu de selecție inițial (ce cerințe pui furnizorilor noi), o testare periodică pe durata colaborării și o cale de escaladare dacă un furnizor raportează un incident. Aceasta este aceeași întrebare pe care ți-o pune chiar clientul tău cu privire la riscurile lanțului de aprovizionare — în esență completezi aici propriul răspuns, dar cu un nivel mai adânc în lanț.

Ce contează ca dovadă depinde de cât de matur este procesul tău. O clauză contractuală în care furnizorul tău se angajează la anumite cerințe de securitate este un punct de plecare, dar nu o testare. Mai puternic este o listă de întrebări pe care o trimiți tu însuți către furnizori, legată de o etichetă de risc simplă (mic/mediu/ridicat) pe baza a ceea ce vede sau atinge acel furnizor din sistemele tale. Dacă nu ai asta, atunci răspunsul cel mai cinstit este că trebuie să instituezi încă procesul — nu că bifezi "da" pe o clauză contractuală care nu are relevanță. Atenție: aceasta este o întrebare separată de dacă propria ta întreprindere cade sub incidența directivei; chiar dacă tu însuți nu cazi direct sub NIS2, un client poate totuși să-ți ceară aceasta prin obligația lanțului.

De unde vine aceasta: directiva și legea olandeză

Obligația se găsește în articolul 21 alineatul 2 litera d din Directiva (UE) 2022/2555; Legea privind securitatea cibernetică transpune aceasta în dreptul olandez și se așteaptă să intre în vigoare pe 15 august 2026. ISO/IEC 27001 Anexa A conține o măsură de control similară privind relațiile cu furnizorii, ceea ce explică de ce clienții cu o chestionară ISO pun adesea aceeași întrebare ca și clienții care fac referință la NIS2.