Zoznam otázok pýta, ako riadime riziká svojich dodávateľov

Bezpečnosť reťazca je jedným z desiatich povinných opatrení

Toto nie je len ďalšia otázka: bezpečnosť dodávateľského reťazca je uvedená ako samostatný prvok v článku 21 odsek 2 smernice NIS2, vedľa ďalších deviatich opatrení, ako je analýza rizík, narábanie s incidentmi a riadenie prístupu. Zákazník, ktorý si to kladie, overuje, či vaša spoločnosť pozerá aj dozadu: nie len vlastnú bezpečnosť, ale aj bezpečnosť strán, od ktorých ste závislí. To sa zhoduje s požiadavkami na bezpečnosť, ktoré podnik sám kladie svojim dodávateľom — rovnaký princíp, o jeden krok ďalej v reťazci.

V praxi sa zvyčajne pýtajú na tri veci: máte politiku alebo postup na posúdenie dodávateľov z hľadiska kybernetického rizika, stanovujete si zmluvné požiadavky (myslite na oznamovaciu povinnosť pri incidentoch, minimálne úrovne bezpečnosti) a monitorujete to aj po podpísaní zmluvy. Ak nemáte tento postup, je "nie" s krátkym vysvetlením dobrá odpoveď — lepšie ako "áno", ktoré nemôžete podložiť. Máte síce posúdenie dodávateľov, ale bez samostatnej kybernetickej časti, potom to presne pomenujte: dôkaz musí zodpovedať tomu, čo vyplníte. ISO 27001 certifikát s prílohou A tento predmet väčšinou pokrýva, takže ak podnik je certifikovaný podľa ISO 27001 je to často najrýchlejší dôkaz na predloženie.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Desať opatrení podľa článku 21 odsek 2 smernice NIS2 uvádzajú bezpečnosť reťazca ako samostatný bod, oddelene od všeobecnej analýzy rizík. Norma ISO/IEC 27001 to ďalej rozpracúva v opatreniach kontroly v prílohe A, špecificky zameraných na vzťahy s dodávateľmi a požiadavky, ktoré na nich kladiete. Zákon o kybernetickej bezpečnosti transformuje túto povinnosť do českého práva a nadobúda účinnosť 15. augusta 2026 — zatiaľ je smernica EÚ samotná zdrojom a zákazník sa v praxi na ňu v mnohých prípadoch orientuje podľa tohto obdobia.