moramo enaka varnostna vprašanja postaviti tudi našim lastnim dobaviteljem

Ja, ker članek 21(2) to izrecno predpisuje

Ja, v večini primerov je to potrebno. Članek 21(2) Direktive NIS2 našteva deset ukrepov, ki jih mora izvajati subjekt, točka (d) pa se konkretno nanaša na varnost oskrbovalne verige — vključno z razmerjem s katerim koli dobaviteljem ali ponudnikom storitev in med njimi. Če vas torej stranka sprašuje o varnosti verige, ni dovolj, da pokažete, kaj počnete sami. Pokazati morate tudi, kaj od svojih podizvoditeljiev zahtevate in kako to nadzorujete.

V praksi to običajno pomeni plastni pristop, ne pa kopijo celotnega vprašalnika vaše stranke. Od svoje strani običajno zahtevate: ali ima podizvoditelj osnovne ukrepe na mestu (dostop, varnostne kopije, odziv na incidente), ali obstaja pogodbenega določila o obveznosti poročanja ob incidentu, in — pri kritičnih dobaviteljih — ali obstaja dokaz, kot je certifikat ISO 27001 ali lastna izjava. Večji kot je pomen podizvoditelja pri izvajanju storitev stranki, bolj specifični so zahtevki, ki jih lahko posredujete. To je isto vprašanje, ki vam ga sedaj postavlja vaša stranka o varnostni pogoji za lastne dobavitelje — tu ste vi v sredini verige, ne na začetku.

Kje je to v Direktivi in normi

Sama obveznost je navedena v članku 21(2) pod (d) Direktive NIS2, ki varnost verige kot enega od desetih obveznih ukrepov. Za nederlandsko prakso se to prevede v Zakon o kibernetski varnosti, prenos NIS2, ki začne veljati 15. avgusta 2026 — od tega trenutka se obveznost tudi formalno nanjo prav tako za entitete, ki spadajo pod zakon. Kdor lahko dokaže, da je to sistematično urejeno, se pogosto sklicuje na Prilogo A standarda ISO/IEC 27001, kjer so razmerja z dobavitelji in varnost v oskrbovalni verigi navedeni kot ločeni varovalni ukrepi. Ali vaše podjetje samo po sebi spada pod Direktivo NIS2 kot subjekt, je sicer drugo vprašanje, ki je neodvisno od tega, kaj vam stranka pogodbeno zahteva; ta razlika je obravnavana pri ali podjetje spada pod direktivo.