dotazník sa pýta na riziká v našom dodávateľskom reťazci, čo to znamená

Reťazové riziká sú bezpečnosť vašich vlastných dodávateľov

Reťazové riziká sa týkajú dodávateľov a poskytovateľov služieb, ktorých si zapojíte, a či predstavujú medzeru v bezpečnosti vášho klienta. Otázka nevznikla z ničoho: je to doslova opatrenie z článku 21 odsek 2 smernice NIS2, časť d, ktorá sa výslovne týka bezpečnosti dodávateľskej reťaze, vrátane vzťahu k dodávateľom. Váš klient musí byť schopný preukázať, že si to overil u svojich vlastných dodávateľov — teda u vás. Preto je táto otázka v zozname.

V praxi sa pýtajú na dve veci naraz. Po prvé: máte vy sami prehľad o rizikách, ktoré so sebou prinášajú vaši kritickí dodávatelia (hosting, softvér, správa IT)? Po druhé: kladiete sami požiadavky na tých dodávateľov, zmluvne alebo inak? To druhé sa prekrýva s otázkou, či musia vaši vlastní dodávatelia spĺňať požiadavky na bezpečnosť — často je to doslova tá istá otázka v inej podobe, takže najskôr skontrolujte, či ste ju už neodpovedali. Ak nemáte formálnu politiku dodávateľov, je úprimná odpoveď "nie, zatiaľ nie" presnejšia ako odpoveď, ktorá sľubuje viac, ako skutočne je.

Spätne dôsledné z článku 21 odsek 2 písmeno d NIS2

Táto otázka vychádza priamo z desiatich opatrení článku 21 odsek 2 Smernice (EÚ) 2022/2555, v ktorej je bezpečnosť dodávateľskej reťaze uvedená ako samostatná časť (písmeno d) popri analýze rizík a spracovaní incidentov. V Zákone o kybernetickej bezpečnosti, holandskom prevedení, ktorý nadobúda účinnosť 15. augusta 2026, sa toto opatrenie objavuje pre subjekty spadajúce pod zákon. Ak pracujete s ISO/IEC 27001, rozpoznáte rovnaký požiadavku v prílohe A pod kontrolnými opatreniami pre vzťahy s dodávateľmi. To, či vaša podnikateľská jednotka sama spadá do rozsahu tejto povinnosti, závisí od toho, či je podnikateľská jednotka subjektom pod NIS2 alebo národným prevedením — to určuje, či je to pre vás povinnosť alebo len otázka, ktorú vám váš klient priamo posiela.