zákazník sa pýta, ako spravujeme prístup externých dodávateľov

Prístup pre externých dodávateľov je súčasťou článku 21 odsek 2

Táto otázka sa týka toho, ako spravujete prístup tretích strán k vašim systémom a údajom, a to sa týka dvoch z desiatich opatrení z článku 21 odsek 2 NIS2 súčasne: bod (i), politika prístupu, a bod (d), bezpečnosť dodávateľskej reťaze smerom k dodávateľom. Zákazník teda nechce vedieť len to, či majú externí partneri prístup, ale aj to, ako je tento prístup ohraničený, kto ho poskytuje a odvoláva, a či je tento proces zdokumentovaný. Odpoveď typu "dodávatelia dostanú prístup len po schválení" je príliš vágna bez toho, aby ste vysvetlili, ako prebieha toto schválenie a ako často sa prehodnocuje.

Čo konkrétne potrebujete: popis autorizačného procesu pre externí účty, ideálne s uvedením princípu minimálnych oprávnení (prístup obmedzený na to, čo je potrebné) a lehoty, v ktorej sa prístup prehodnocuje alebo odvoláva pri ukončení úlohy. Ak tento proces chýba, potom je tu "nie" čestná odpoveď — sugestívne "áno" bez podkladového dokumentu v prípade spot-check zákazníka spôsobí viac škody ako nie s vysvetlením, že sa politika vyvíja. Táto téma sa prekrýva s politikou prístupu a riadením podnikateľských prostriedkov, kde sa rieši širšia autorizačná štruktúra, a s otázkou, či podnik stanovuje požiadavky na svojich vlastných dodávateľov, pretože správa externého prístupu je v praxi často súčasťou tej istej politiky reťazca.

Kde sa to nachádza: článok 21 odsek 2, písm. (d) a (i)

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza pod písm. (i) "politiku riadenia prístupu" ako jedno z desiatich povinných opatrení a pod písm. (d) zabezpečenie dodávateľského reťazca vrátane vzťahu s dodávateľmi — externý prístup spadá pod oboje. V ISO/IEC 27001 Príloha A sú príslušné bezpečnostné opatrenia pre riadenie prístupu a pre vzťahy s dodávateľmi rozpracované na úrovni kontrol, čo vysvetľuje, prečo si zákazník často vyžaduje špecifické číslo kontroly z Prílohy A namiesto samotného textu smernice. Pre podniky, ktoré spadajú pod holandskú implementáciu, sa táto povinnosť objavuje v Zákone o kybernetickej bezpečnosti, ktorý nadobúda účinnosť 15. augusta 2026.