musíme prokázat, že kontrolujeme naše dodavatele z hlediska kybernetické bezpečnosti, jak to udělám

Bezpečnost řetězce: co vyžaduje článek 21 odst. 2 písm. d

Článek 21 odst. 2 písm. d směrnice NIS2 uvádí zabezpečení dodavatelského řetězce jako jednu z deseti povinných opatření, včetně aspektů bezpečnosti vztahů mezi entitou a jejími přímými dodavateli. Konkrétně to znamená: musíte být schopni prokázat, že při navazování a údržbě dodavatelských vztahů posuzujete, zda takovýto dodavatel představuje riziko pro vaši vlastní službu. Vypracovaná dodavatelská politika se třemi minimálními součástmi obvykle pokrývá toto: kritérium výběru předem (jaké požadavky kladete na nové dodavatele), periodická kontrola během trvání vztahu a postup eskalace, pokud dodavatel nahlásí incident. Toto je stejná otázka, kterou vám vaš zákazník klade o rizikovém řetězci — zde vlastně vyplňujete svou vlastní odpověď, ale o jednu vrstvu hlouběji v řetězci.

Jaký důkaz se počítá, závisí na tom, jak vyspělý váš proces je. Smluvní klauzule, v níž se váš dodavatel zavazuje určitým požadavkům na bezpečnost, je výchozím bodem, ale nikoli kontrolou. Silnější je dotazník, který sami dodavatelům rozešlete, propojený s jednoduchým rizikovým štítkem (nízké/střední/vysoké) na základě toho, co ten dodavatel vidí nebo se dotýká vašich systémů. Nemáte-li to, pak je nejupřímější odpověď, že proces musíte ještě nastavit — a nikoli že vyplníte „ano vaše vlastní podnikání podléhá směrnici; a i pokud sám přímo podle NIS2 nepodléháte, může zákazník to od vás přesto požadovat prostřednictvím povinnosti v dodavatelském řetězci.

Odkud to pochází: směrnice a české právo

Povinnost se nachází v článku 21 odst. 2 písm. d Směrnice (EU) 2022/2555; Zákon o kybernetické bezpečnosti toto transponuje do českého práva a měl by vstoupit v platnost očekávaně 15. srpna 2026. ISO/IEC 27001 Příloha A obsahuje srovnatelné kontrolní opatření týkající se vztahů se subdodavateli, což vysvětluje, proč zákazníci s dotazníkem ISO často pokládají stejnou otázku jako zákazníci odkazující na NIS2.