vprašalnik sprašuje, kako kartografiramo tveganja v naši verigi

Tveganja v dobavni verigi se nanašajo na dve različni vprašanji

Vprašanje o tveganjih v dobavni verigi se v praksi dejansko sprašuje za dve stvari hkrati, in seznam vprašanj pogosto tega razlikovanja ne naredi eksplicitno. Prvič: ima podjetje samo pregled tveganj, ki jih prinašajo njegovi lastni dobavitelji in ponudniki storitev — pomislite na IT-dobavitelja z dostopom do omrežja ali programsko komponento tretje strani. Drugič: postavlja podjetje zahteve za te dobavitelje in jih nadzira. Ta drugi del se prekriva s vprašanjem, ali podjetje postavlja varnostne zahteve svojim lastnim dobaviteljem — pogosto gre za dobesedno isto vprašanje, le da se drugje na seznamu postavi še enkrat z drugačnimi besedami.

Kdor ima certifikat ISO/IEC 27001, se lahko navadno sklicuje na nadzorne ukrepe za odnose z dobavitelji iz Dodatka A — ti so posebej za ta del, in revizor jih je že ocenil. Brez certifikata odgovor ni samodejno »ne«: ustrezno je, ali obstaja analiza tveganja, v katero so dobavitelji vključeni kot točka pozornosti, tudi če je ta analiza neformalna. To se ujema s širšim vprašanjem o politiki za analizo tveganja, kjer tveganja v dobavni verigi tipično predstavljajo odstavek, ne pa ločen dokument. Če ni nič dokumentirano, je »ne« pošten odgovor — predlagati »ja« brez analize tveganja, pogodbene klavzule ali seznama dobaviteljev, ki bi bila temelj temu, se ne obdrži, če od vas kupec zahteva dokazilo.

Od kod to izvira: člen 21, odstavek 2 direktive NIS2

Varnost v dobavni verigi je kot ločen del navedena v členu 21, odstavku 2 direktive NIS2, med desetimi ukrepi, ki so tam navedeni. Za tiste, ki sami spadajo pod direktivo — ali pa bodo kmalu spadali pod Zakon o kibernetski varnosti, nizozemski prenos, ki stopí v veljavo 15. avgusta 2026 — to ni neobvezni del, ampak ena od obveznih ukrepov. Za tiste, ki ne spadajo pod direktivo, a vendar dobijo to vprašanje od kupca, je to običajno prenesena zahteva: kupec mora sam dokazati, da obvladuje svojo dobavno verigo, in zato to vprašanje posreduje naprej.