vprašalnik sprašuje po tveganjih v našem dobaviteljskem lancu, kaj to pomeni

Tveganja v verigi so varnost vaših lastnih dobaviteljev

Tveganja v verigi se nanašajo na dobavitelje in izvajalce storitev, ki jih vi angažirate, in ali predstavljajo režo v varnosti vašega stranke. Vprašanje ni naključno: gre za dobesedno ukrep iz člena 21 odstavka 2 Direktive NIS2, točka d, ki se eksplicitno nanaša na varnost dobaviteljske verige, vključno z razmerjem z dobavitelji. Vaš stranka mora biti sposoben dokazati, da je to preverjal pri svojih lastnih dobaviteljih — torej pri vas. Od tod vprašanje na seznamu.

V praksi se hkrati zastavljata dve stvari. Prvo: imate vi sami vpogled v tveganja, ki jih prinašajo vaši kritični dobavitelji (gostovanje, programska oprema, upravljanje IT)? Drugo: postavljate vi sami zahteve tem dobaviteljem, pogodbeno ali drugače? To drugo se prekriva s vprašanjem, ali morajo vaši lastni dobavitelji izpolnjevati zahteve varnosti — pogosto gre za dobesedno isto vprašanje v drugačni obliki, zato najprej preverite, ali ste ga že odgovorili. Če nimate formalnega politika dobaviteljev, je odkrit »ne, še ne« natančnejši od odgovora, ki obljublja več, kot je res.

Izhaja iz člena 21 odstavka 2 točke d Direktive NIS2

To vprašanje izhaja direktno iz desetih ukrepov člena 21 odstavka 2 Direktive (EU) 2022/2555, v kateri je varnost dobaviteljske verige kot ločena točka (d) navedena poleg analize tveganja in obravnave incidentov. V zakonu o kibernetski varnosti, nizozemski implementaciji, ki začne veljati 15. avgusta 2026, se ta ukrep pojavlja za subjekte, ki jih zakon zajema. Kdor dela z ISO/IEC 27001, prepozna isto zahtevo v Prilogi A med nadzorom ukrepov za razmerja z dobavitelji. Ali vaše podjetje kot subjekt tudi spada pod область uporabe te obveznosti, je odvisno od ali podjetje kot subjekt spada pod NIS2 ali nacionalno implementacijo — to določa, ali je to za vas obveznost ali samo vprašanje, ki vam ga posreduje vaš stranka.