клиентът пита как сме защитени срещу атаки чрез нашите доставчици

Този въпрос отнася към член 21 параграф 2 буква д, а не към цялото ви политика по киберсигурност

Този въпрос се отнася специфично към сигурността на веригата доставки: какво правите, за да предотвратите атака при вас възникнала от слабо място при вашия доставчик. Това е една от десетте мерки от член 21 параграф 2 NIS2, наред с анализ на риска, управление на инциденти и криптография. Задающият въпроса по този начин не иска да узнае как са защитени вашите собствени системи — това е друг въпрос в анкетата — а как управлявате рисковете, които идват чрез трета страна.

Конкретното доказателство за това обикновено се състои от три части: оценка на доставчика преди подписване на договор, изисквания по киберсигурност, установени договорно (например договор за обработка на данни или отделен приложение за сигурност), и преглед на кои доставчици имат достъп до кои системи или данни. Ако нямате това, тогава "не" е честният отговор — списък на доставчици без основни изисквания не е доказателство за контрол. Ако искате по-задълбочено да видите какво точно има предвид клиентът с този въпрос, помага да проверите дали предприятието поставя изисквания по киберсигурност на своите собствени доставчици е разработено отделно в дейния досие, независимо от въпроса дали сами попадате под ръководството.

Ако сте сертифицирани по ISO 27001, отговорът често вече е подготвен: Приложението A съдържа специфична мерка за управление на отношенията с доставчици (A.5.19 до A.5.22 в версията от 2022 г.), и одитор вече е това проверил. Без сертификат отговорът не е автоматично "не" — въпросът е какво фактически правите, а не етикета. При съмнение проверете дали предприятието е сертифицирано по ISO 27001 вече е записано в дейния досие, това ще спести работа при този въпрос.

Откъде идва това: член 21 параграф 2 буква д NIS2

Член 21 параграф 2 буква д на Директива (EU) 2022/2555 изрично назовава "сигурността на веригата доставки" като задължителна част от управлението на риска, включително отношенията с отделните доставчици. Законът за киберсигурност поема това задължение щом влезе в сила; до тогава въпросът може да се появи уже, защото клиентът сам вече попада под директивата и това предава в веригата, дори и да не сте вие сами NIS2-субект.