Zákazník sa pýta, ako sme chránení pred útokmi prostredníctvom našich dodávateľov

Táto otázka sa týka článku 21 odsek 2 písm. d, nie vášho celého bezpečnostného politika

Táto otázka sa zameriaľa špecificky na bezpečnosť dodávateľského reťazca: čo robíte, aby ste zabránili tomu, aby slabé miesto u VÁŠHO dodávateľa umožnilo útok na vás. Ide o jedno z desiatich opatrení z článku 21 odsek 2 NIS2, popri analýze rizík, riešení incidentov a kryptografii. Otázkami sa teda nechce vedieť, ako sú chránené vaše vlastné systémy — to je iná otázka na zozname — ale ako si udržujete kontrolu nad rizikami, ktoré prichádzajú prostredníctvom tretej strany.

Konkrétny dôkaz na to zvyčajne pozostáva z troch častí: posúdenia dodávateľa pred uzavretím zmluvy, bezpečnostných požiadaviek stanovených zmluvne (myslite na dohodu o spracovateľovi alebo samostatný bezpečnostný dodatok), a prehľadu, ktorí dodávatelia majú prístup ku ktorým systémom alebo údajom. Ak to nemáte, potom je "nie" poctivá odpoveď — zoznam dodávateľov bez základných požiadaviek nie je dôkazom kontroly. Ak chcete hľadieť hlbšie na to, čo si zákazník konkrétne myslí pod touto otázkou, pomáha zistiť, či podnik stanovuje bezpečnostné požiadavky svojim vlastným dodávateľom je samostatne vypracované v reťazcovom dossier, nezávisle od otázky, či ste sami podľa smernice.

Ak ste certifikovaní podľa ISO 27001, odpoveď je často už pripravená: Príloha A obsahuje špecifické riadiace opatrenie pre vzťahy s dodávateľmi (A.5.19 až A.5.22 v verzii z roku 2022), a audítor to už raz skontroloval. Bez certifikátu odpoveď nie je automaticky "nie" — ide o to, čo skutočne robíte, nie o pečať. V prípade pochybností skontrolujte, či podnik je certifikovaný podľa ISO 27001 je už zaznamenané v dossier, čo vám ušetrí prácu pri tejto otázke.

Odkiaľ to pochádza: článok 21 odsek 2 písm. d NIS2

Článok 21 odsek 2 písm. d Smernice (EÚ) 2022/2555 výslovne spomína "bezpečnosť dodávateľského reťazca" ako povinné súčasti riadenia rizík, vrátane vzťahu s jednotlivými dodávateľmi. Zákon o kybernetickej bezpečnosti prevezme túto povinnosť, akonáhle vstúpi v platnosť; kým sa to nestane, otázka už môže byť prítomná, pretože zákazník sám už podľa smernice podlieha a prenáša to do reťazca, aj keď sami nie ste subjekt podľa NIS2.