Ali podjetje postavlja zahteve za varnost svojim dobaviteljem?

Dobavna veriga je ena od desetih ukrepov

Da, v večini primerov je to relevant odgovoriti z navedbo konkretne politike dobaviteljev, ne s splošnim pomirjenjem. Vprašanje izhaja neposredno iz člena 21(2) Direktive NIS2, kjer je "varnost dobavne verige" kot ločena točka ob devetih ostalih ukrepih. Odjemalec torej ne želi vedeti, ali ste sami dobro zavarjeni, temveč ali to zahtevo prenašate na strani, od katerih ste odvisni: ponudniki gostovanja, dobavitelji programske opreme, IT-storitve.

Konkretno gre za vprašanja, kot so: ali so varnostne zahteve v pogodbah s kritičnimi dobavitelji, ali se pri nabavi ali uvedbi preverja raven varnosti, in ali je jasno razvidna odvisnost naprej v verigi. Podjetje, ki ima samo svoj informacijski varnostni politiki — glej tudi vprašanje o politike analize tveganja in zaščite informacijskih sistemov — ima pogosto že okvir, v katerem je ocenjevanje dobaviteljev stalni del. Če tega manjka, je "ne" ali "delno" pošten odgovor; zaveza, kaj bi se moralo zgoditi, tu ni naša naloga.

Kjer je to v členu 21(2) NIS2

Člen 21(2) Direktive (EU) 2022/2555 navaja varnost dobavne verige kot enega od desetih ukrepov, ki ga mora sprejeti subjekt, vključno s pozornostjo na razmerje med subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev. Ta točka je pogosto povezana z drugimi ukrepi iz iste seznama: dobavitelj, ki ne prijavi ranljivosti, vpliva tudi na postopek za odkrivanje in odpravo ranljivostiin incident pri dobavitelju mora potekati po enaki poti kot incident v samem podjetju. Ali je to vprašanje sploh obvezno, je odvisno od tega, ali je samo podjetje predmet direktive — to je ločeno vprašanje s svojim odgovorom.