seznam otázek se ptá, jak kontrolujeme zabezpečení našich dodavatelů

Bezpečnost řetězce: váš zákazník se ptá dále na vaše vlastní dodavatele

Tato otázka se týká článku 21 odst. 2 písm. d směrnice NIS2: bezpečnosti dodavatelského řetězce, včetně vztahu s každým přímým dodavatelem nebo poskytovatelem služeb. Váš zákazník tedy nechce vědět jen to, jak jste bezpečí vy sami, ale také jak to prosazujete u svých subdodavatelů. V praxi se obvykle ptáte, zda zahrnujete požadavky na bezpečnost do smluv, zda posuzujete dodavatele předem a zda periodicky kontrolujete, zda tyto požadavky plní.

Pokud jste tento proces dosud formálně nenavázali, nejupřímněji lze odpovědět, že jej provádíte neformálně — například prostřednictvím smluvních doložek bez strukturovaného posouzení — nebo jej ještě neprovádíte. Odpověď „ano podnik stanovuje bezpečnostní požadavky pro své vlastní dodavatele .

Místo, odkud to pochází: článek 21 odst. 2 a příloha A.5.19–21

Právním základem je článek 21 odst. 2 písm. d směrnice NIS2, jedním z deseti povinných opatření, která jsou v ní uvedena. V českém prostředí se to odráží v zákonech o kybernetické bezpečnosti, implementaci směrnice NIS2, která nabývá účinnosti dne 15. srpna 2026 — otázka od vašeho zákazníka vám tedy často předbíhá to, co bude pro vás samotné povinné až později, pokud na vás již vztah direktivy neplatí prostřednictvím definice subjektu podle NIS2. Pokud používáte normu ISO/IEC 27001, poznáte stejný požadavek v příloze A, kontrolních opatřeních v bodech A.5.19 až A.5.21 týkajících se vztahů s dodavateli a požadavků na bezpečnost v nich stanovených. Oba zdroje v podstatě žádají totéž: nejen vědět, kdo jsou vaši dodavatelé, ale prokazatelně dokazovat, že sledujete jejich úroveň bezpečnosti.