трябва ли да поставяме същите кибервопроси на нашите собствени доставчици

Да, защото член 21 параграф 2 задължава точно това

Да, в повечето случаи това е необходимо. Член 21 параграф 2 на Директива NIS2 посочва десет мерки, които един субект трябва да приеме, а точка (d) от тях се отнася конкретно до сигурността на веригата на доставки — включително отношенията с и между всеки доставчик или служба. Ако вашият клиент питане за сигурност на веригата, то не е достатъчно да покажете какво правите вие сами. Трябва също да можете да покажете какво изисквате от вашите собствени подизпълнители и как това контролирате.

На практика това обикновено означава многоуровнев подход, не копие на целия въпросник на вашия клиент. Обикновено изисквайте: дали подизпълнителят има основни мерки наред (достъп, резервни копия, управление на инцидентите), има ли договорно условие за докладване при инцидент, и — при критични доставчици — има ли доказателства като сертификат ISO 27001 или собствено изявление. Колкото по-голяма е тежестта на подизпълнителя в предоставяната от вас услуга на клиента, толкова по-специфични са изисквания, които можете да предадете. Това е същия въпрос, който вашият клиент вам сега задава за изисквания за сигурност спрямо собствените доставчици — вие сте тук в средата на веригата, не в началото.

Където това е посочено в директивата и стандарта

Самото задължение се съдържа в член 21 параграф 2 буква (d) на Директива NIS2, която посочва сигурност на веригата като една от десетте задължителни мерки. За нидерландската практика това се превежда в Закона за кибербезопасност, преноса на NIS2, който влиза в сила на 15 август 2026 г. — от този момент задължението важи и формално според нидерландското право за субектите, попадащи под закона. Всеки, който може да докаже, че това е организирано систематично, често се позовава на Приложение A на ISO/IEC 27001, където отношенията с доставчици и сигурността в веригата на доставки са включени като отделни мерки за управление. Дали вашата организация сама попада под Директива NIS2 като субект, е напротив отделен въпрос, независим от това, което вашият клиент договорно изисква от вас; това различие се разглежда в въпроса дали организацията попада под директивата.