chestionarul întreabă cum gestionăm riscurile furnizorilor noștri

Securitatea lanțului aprovizionării este una dintre cele zece măsuri obligatorii

Aceasta nu este o simplă întrebare suplimentară: securitatea lanțului de aprovizionare este menționată ca o parte separată în articolul 21 alineatul 2 al NIS2, alături de celelalte nouă măsuri, cum ar fi analiza riscului, tratarea incidentelor și controlul accesului. Clientul care pune această întrebare verifică dacă organizația ta se uită și spre spate: nu doar propria ta securitate, ci și aceea a părților de care depinzi. Aceasta se aliniază cu cerințe de securitate pe care organizația le stabilește chiar ea pentru furnizorii săi — același principiu, un pas mai departe în lanț.

În practică, se pun de obicei trei întrebări: ai o politică sau un proces pentru a evalua furnizorii din perspectiva riscului cibernetic, impui cerințe contractuale (gândește-te la obligația de a raporta incidentele, niveluri minime de securitate), și monitorezi aceasta după semnarea contractului. Dacă nu ai acest proces, un răspuns cu "nu" și o scurtă explicație este un răspuns perfect adecvat — mai bine decât un "da" pe care nu îl poți justifica. Dacă ai o evaluare a furnizorilor dar nu ai o secțiune separată pentru securitate cibernetică, specifică exact aceasta: dovada trebuie să corespundă cu ceea ce completezi. Un certificat ISO 27001 cu Anexa A acoperă de obicei acest subiect, deci dacă organizația este certificată ISO 27001 aceasta este adesea cea mai rapidă dovadă de prezentat.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Cele zece măsuri din articolul 21 alineatul 2 al NIS2 numesc securitatea lanțului ca punct separat, distinct de analiza riscului generală. ISO/IEC 27001 elaborează mai departe aceasta în măsurile de control din Anexa A, specific orientate către relațiile cu furnizorii și cerințele pe care le stabilești pentru aceștia. Legea de securitate cibernetică transpune această obligație în dreptul olandez și intră în vigoare pe 15 august 2026 — deocamdată directiva UE în sine este sursa, iar clientul pun adesea în practică deja întrebări cu privire la aceasta.