musíme preukázať, že kontrolujeme našich dodávateľov na kybernetickú bezpečnosť, ako to zrealizujem

Bezpečnosť v dodávateľskom reťazci: čo vyžaduje článok 21 odsek 2 písmeno d

Článok 21 odsek 2 písmeno d smernice NIS2 spomína bezpečnosť dodávateľského reťazca ako jedno z desiatich povinných opatrení, vrátane aspektov bezpečnosti vzťahov medzi subjektom a jeho priamymi dodávateľmi. Konkrétne to znamená: musíte vedieť preukázať, že pri nadväzovaní a udržiavaní vzťahov s dodávateľmi hodnotíte, či dodávateľ predstavuje riziko pre vašu vlastnú službu. Vypracovaná politika voči dodávateľom s najmenej tromi komponentmi zvyčajne pokrýva túto oblasť: kritérium výberu vopred (aké požiadavky kladiete na nových dodávateľov), periodické overenie počas trvania vzťahu a eskalizačný postup, ak dodávateľ nahlási incident. Toto je tá istá otázka, ktorú si na vás vzáša váš zákazník z hľadiska reťazového rizika — v podstate tu vyplňujete svoju vlastnú odpoveď, ale o jednu úroveň hlbšie v reťazci.

To, čo sa počíta ako dôkaz, závisí od toho, ako zrelý váš proces je. Zmluvná klausула, v ktorej sa váš dodávateľ zaväzuje dodržiavať určité požiadavky bezpečnosti, je východzím bodom, ale nie overením. Silnejšie je poslať dodávateľom vlastnú otázkou zameranú na bezpečnosť, kombinovanú s jednoduchým rizikovým označením (nízke/stredné/vysoké) na základe toho, čo dodávateľ vidí alebo sa dotýka vašich systémov. Ak to nemáte, najčestnejšia odpoveď je, že musíte proces ešte zaviesť — nie že vyplníte "áno" pri zmluvnej klauzule, ktorá to nezmení. Pozor: toto je samostatná otázka ako to, či vaša vlastná činnosť spadá pod smernicu; aj keď vy sami nie ste priamo zahrnutí do NIS2, zákazník vám to môže napriek tomu požadovať prostredníctvom povinnosti reťazca.

Odkiaľ to pochádza: smernica a holandský zákon

Povinnosť je uvedená v článku 21 ods. 2 písm. d Smernice (EÚ) 2022/2555; Zákon o kybernetickej bezpečnosti to implementuje do holandského právneho poriadku a má nadobudnúť účinnosť podľa očakávania 15. augusta 2026. ISO/IEC 27001 Príloha A obsahuje podobné kontrolné opatrenie týkajúce sa vzťahov so dodávateľmi, čo vysvetľuje, prečo zákazníci s dotazníkom ISO často kladú rovnakú otázku ako zákazníci, ktorí sa odvolávajú na NIS2.