moramo dokazati, da preverjamo naše dobavitelje na ciber varnost, kako to storim

Varnost verige: kaj zahteva člen 21 odstavek 2 pododstavek d

Člen 21 odstavek 2 pododstavek d Direktive NIS2 navaja varnost oskrbne verige kot eno od desetih obveznih ukrepov, vključno z varnostnimi vidiki razmerij med subjektom in njegovimi neposrednimi dobavitelji. To v praksi pomeni: dokazati morali boste, da pri vzpostavljanju in vzdrževanju razmerij z dobavitelji ocenjujete, ali ta dobavitelj predstavlja tveganje za vaše lastne storitve. Napisana politika dobaviteljev z najmanj tremi elementi to ponavadi pokriva: vnaprej postavljen kriterij izbire (kateri pogoji ste postavljeni za nove dobavitelje), periodični pregled v času trajanja in eskalacijska pot, če dobavitelj prijavi incident. To je isto vprašanje, ki ga vaš odjemalec zastavi vam samim glede verižnega tveganja — tukaj v bistvu izpolnjujete svoj lastni odgovor, ampak eno raven globlje v verigi.

Kaj šteje kot dokaz, je odvisno od tega, kako zrela je vaša procesu. Pogojna klauzula, v kateri se vaš dobavitelj zavezuje k določenim varnostnim zahtevam, je izhodišče, vendar ne test. Bolj učinkovita je vprašalnik, ki ga sami pošljete dobaviteljem, povezan s preprostim oznako tveganja (nizko/srednje/visoko) na podlagi tega, kaj vidi ali se dotika dobavitelj vaših sistemov. Če tega nimate, je najbolj pošteno odgovariti, da morate proces še urediti — ne da vpišete »da« pri pogojni klauzuli, ki je nepomembna. Opomba: to je drugo vprašanje kot ali vaše lastno podjetje spada pod direktivo; tudi če sami niste neposredno zajeti v NIS2, lahko odjemalec to vseeno zahteva od vas prek verižne obveznosti.

Od kod to prihaja: direktiva in nemški zakon

Obveznost je navedena v členu 21 odstavek 2 pododstavek d Direktive (EU) 2022/2555; Kibernetska varnostna zakon to preslika v slovensko pravo in je pričakovan v veljavo 15. avgusta 2026. ISO/IEC 27001 Prilog A vsebuje podobno kontrolno mero glede dobaviteljskih razmerij, kar pojasnjuje, zakaj odjemalci z ISO-vprašalnikom pogosto zastavijo isto vprašanje kot odjemalci, ki se sklicujejo na NIS2.