Списъкът с въпроси пита как контролираме киберсигурността на нашите собствени доставчици

Верига на сигурност: какво точно искат да знаят клиентите

Този въпрос се отнася до член 21, параграф 2, буква d от NIS2: защитата на веригата на доставянето, включително отношенията с всеки отделен доставчик. Клиентът тъй че не иска да знае дали вие сами сте в безопасност, а дали вие също налагате и проверявате това при вашите доставчици. Конкретно, въпросникът обикновено иска три неща: дали сте включили изисквания за сигурност в договорите с доставчици, дали оценявате доставчиците преди да ги наемете, и дали ги преоценявате периодично. Отговор като "ние се доверяваме на нашите доставчици" не е доказателство за това поле — трябва да има процес зад него.

Ако имате този процес, доказателството обикновено е политика по отношение на доставчиците или клаузула в стандартния договор, евентуално допълнена с преглед на извършените оценки. Ако нямате това, тогава "не" е честния отговор тук — попълването на базата на предположение не дава "да", защото досието няма източник за това. Този предмет е свързан и с друго поле в същия въпросник: дали предприятието поставя изисквания за сигурност на собствените си доставчици е често поставян отделен въпрос, но доказателството се пресича с това, което се иска тук. Уместно е също дали собствената ви анализ на рисковете разглежда доставчиците като отделна категория риск; това се свързва с политиката за анализ на риска и информационна сигурност която се разглежда другаде в списъка.

Правна основа: член 21, параграф 2 и Приложение A

Задължението произтича от член 21, параграф 2, буква d на Директива (EU) 2022/2555, която посочва верига на сигурност като една от десетте задължителни мерки. ISO/IEC 27001 разработва това в Приложение A, под мерките за контрол на отношенията с доставчиците: там се прави разграничение между изисквания в началото на отношението и периодично наблюдение. За нидерландските предприятия същото задължение се появява отново в Закона за киберсигурността, който влиза в сила на 15 август 2026 г. като имплементация на NIS2. Дали това задължение се отнася на вашето предприятие, зависи от това дали попадате под ръководството; това е различен въпрос от това, което се разглежда тук, и е отделно обяснено при дали предприятието само по себе си попада под NIS2.