въпросникът пита как картографираме рисковете в нашата верига

Рисковете в веригата засягат два различни въпроса

Въпросът относно рисковете в веригата на доставки в практиката всъщност задава две неща едновременно, и въпросниците често не правят това разграничение явно. Първо: има ли предприятието наблюдение върху рисковете, които идват от неговите собствени доставчици и доставчици на услуги — например IT доставчик с достъп до мрежата или софтуерен компонент от трета страна. Второ: поставя ли предприятието изисквания към тези доставчици и ги ли контролира. Втората точка се припокрива с въпроса дали предприятието поставя изисквания за сигурност към своите собствени доставчици — често това е буквално един и същ въпрос, само че по-нататък в списъка е повторен с други думи.

Който е сертифициран по ISO/IEC 27001, обикновено може да се позовава на контролните мерки за отношения с доставчици от Annex A — те са специално за този компонент и одитор вече ги е оценил. Без сертификат отговорът не е автоматично "не": уместно е дали съществува анализ на риск, в който доставчиците са включени като точка на внимание, дори и ако е неформален. Това е в съответствие с по-широкият въпрос относно политиката за анализ на риска, където рисковете в веригата обикновено представляват параграф, а не отделен документ. Ако няма нищо записано, то "не" е честният отговор — представяне на "да" без провеждане на анализ на риска, договорна клауза или преглед на доставчиците, които да лежат в основата, не издържа, когато клиентът поиска доказателствата.

Откъде идва това: член 21, параграф 2 на NIS2

Сигурността в веригата е посочена като отделна мярка в член 21, параграф 2 от Директива NIS2, между десетте мерки, посочени там. За всеки, който сам попада под директивата — или скоро под Закона за киберсигурност, холандската трансформация, която влиза в сила на 15 август 2026 г. — това не е произволна мярка, а една от задължителните мерки. За всеки, който не попада под нея, но въпреки това получи въпроса от клиент, това обикновено е преобременение на същото изискване: клиентът сам трябва да докаже, че контролира своята верига, и затова пита това.