dotazník sa pýta, ako kontrolujeme kybernetickú bezpečnosť našich vlastných dodávateľov

Bezpečnosť dodávateľského reťazca: čo presne chce vedieť zákazník

Táto otázka sa týka článku 21 odsek 2 písm. d smernice NIS2: zabezpečenia dodávateľského reťazca vrátane vzťahu s každým jednotlivým dodávateľom. Zákazník sa teda nechce dozvedieť, či ste vy sami bezpeční, ale či to vyžadujete a kontrolujete aj od VAŠICH dodávateľov. V konkrétnosti sa v zozname otázok zvyčajne hľadajú tri veci: či ste zahrnuli požiadavky bezpečnosti do zmlúv s dodávateľmi, či ste dodávateľov hodnotili pred ich angažovaním, a či ich pravidelne prehodnocujete. Odpoveď ako "dôverujeme našim dodávateľom" nie je pre toto pole dôkazom — musí za tým stáť proces.

Ak tento proces máte, dôkazný materiál je zvyčajne politika dodávateľov alebo klauzula v štandardnej zmluve, prípadne doplnená prehľadom uskutočnených hodnotení. Ak to nemáte, potom je tu "nie" poctivá odpoveď — vyplnenie na základe predpokladu nevedie k áno, pretože dossier na to nemá zdroj. Táto téma súvisí s iným poľom v tom istom zozname otázok: či podnik stanovuje požiadavky bezpečnosti svojim vlastným dodávateľom je často samostatne kladená otázka, ale dôkazy sa prekrývajú s tým, čo sa tu požaduje. Relevantné je aj to, či vaša vlastná analýza rizík zahŕňa dodávateľov ako samostatnú kategóriu rizika; to nadväzuje na politiku analýzy rizík a bezpečnosti informácií ktorá sa inde v zozname pýta.

Právny základ: článok 21 odsek 2 a príloha A

Povinnosť vyplýva z článku 21 odsek 2 písm. d Smernice (EÚ) 2022/2555, ktorá bezpečnosť dodávateľského reťazca menuje ako jedno z desiatich povinných opatrení. ISO/IEC 27001 to rozpracúva v prílohe A, v rámci kontrolných opatrení pre vzťahy s dodávateľmi: rozlišuje sa tam medzi požiadavkami na začiatku vzťahu a pravidelným monitorovaním. Pre holandské podniky sa rovnaká povinnosť objavuje v Zákone o kybernetickej bezpečnosti, ktorý vstúpi do platnosti 15. augusta 2026 ako transpozícia smernice NIS2. To, či sa táto povinnosť vzťahuje na vašu vlastnú firmu, závisí od toho, či podliehate smernici; to je iná otázka ako tá, ktorá sa tu kladie, a je osobitne vysvetlená v časti či podnik podlieha smernici NIS2.