Трябва да докажем, че проверяваме нашите доставчици за киберсигурност, как го правя

Безопасност на веригата: какво изисква член 21 параграф 2 букза d

Член 21 параграф 2 букза d на Директива NIS2 посочва защитата на веригата на доставка като един от десетте задължителни мерки, включително аспектите на защитата на отношенията между органа и неговите преки доставчици. Това означава конкретно: трябва да можете да докажете, че при поемане и поддържане на отношения с доставчици оценявате дали такъв доставчик представлява риск за вашата собствена услуга. Писмена политика за доставчици с минимум три компонента обикновено покрива това: критерий за избор предварително (какви изисквания поставяте към нови доставчици), периодично тестване по време на действието, и план за действие при инцидент, ако доставчик докладва инцидент. Това е същия въпрос, който вашия клиент ви поставя на вас за риск във веригата — всъщност тук попълвате вашия собствен отговор, но един слой по-дълбоко в веригата.

Какво се счита за доказателство зависи от това колко зрял е вашия процес. Договорна клауза, в която вашия доставчик се обвързва с определени изисквания за защита, е начало, но не и тест. По-силно е въпросник, който сами изпращате на доставчици, свързан с прост етикет на риск (нисък/средний/висок) на основата на това, което доставчикът вижда или засяга от вашите системи. Ако нямате това, то най-честният отговор е, че трябва да установите процеса — не че попълнявате "да" на договорна клауза, която не е от значение. Внимание: това е отделен въпрос от това дали вашето собствено предприятие попада под ръководството; дори ако вие сами не попадате пряко под NIS2, клиент може да поиска това от вас чрез вериженото задължение.

Откъде идва това: директива и холандския закон

Задължението е в член 21 параграф 2 букза d на Директива (EU) 2022/2555; Законът за киберсигурност го преобразува в холандско право и се очаква да влезе в сила на 15 август 2026 г. ISO/IEC 27001 Annex A съдържа сравнима управленска мяра относно отношенията с доставчици, което обяснява защо клиентите с въпросник на ISO често поставят същия въпрос като клиентите, които се позовават на NIS2.