zákazník se ptá, jak jsme chráněni před útoky prostřednictvím našich dodavatelů

Tato otázka se týká článku 21 odst. 2 písm. d, nikoli vaší celkové bezpečnostní politiky

Tato otázka se zaměřuje konkrétně na bezpečnost dodavatelského řetězce: co děláte, abyste zabránili tomu, aby slabé místo u vašeho dodavatele umožnilo útok proti vám. Jedná se o jedno z deseti opatření z článku 21 odst. 2 NIS2, vedle analýzy rizik, zvládání incidentů a kryptografie. Tazatel tedy nechce vědět, jak jsou chráněny vaše vlastní systémy — to je jiná otázka v seznamu — ale jak si udržujete kontrolu nad riziky, která se dostávají skrze třetí stranu.

Konkrétní důkaz pro to obvykle sestává ze tří částí: posouzení dodavatele předtím, než je uzavřena smlouva, bezpečnostní požadavky, které jsou smluvně zakotveny (pomyslete na dohodu o zpracování nebo samostatný bezpečnostní dodatek), a přehled o tom, kterí dodavatelé mají přístup do kterých systémů nebo dat. Pokud to nemáte, pak je "ne" čestná odpověď — seznam dodavatelů bez podkladových požadavků není důkazem kontroly. Chcete-li se podívat hlouběji na to, co zákazník přesně myslí touto otázkou, pomáhá vidět, zda podnik stanovuje bezpečnostní požadavky pro své vlastní dodavatele je zvlášť rozpracováno v řetězovém spisu, odděleně od otázky, zda sami spadáte pod směrnici.

Pokud jste certifikováni podle normy ISO 27001, odpověď je často už připravena: Příloha A obsahuje specifické kontrolní opatření pro vztahy s dodavateli (A.5.19 až A.5.22 v edici z roku 2022) a auditor to již jednou zkontroloval. Bez certifikátu odpověď automaticky není "ne" — jde o to, co skutečně děláte, ne o razítko. Ověřte si v případě pochybností, zda podnik je certifikován podle normy ISO 27001 je již zaznamenáno ve spise, což vám ušetří pátrání v této otázce.

Odkud to pochází: článek 21 odst. 2 písm. d NIS2

Článek 21 odst. 2 písm. d Směrnice (EU) 2022/2555 výslovně zmiňuje "bezpečnost dodavatelského řetězce" jako povinnou součást řízení rizik, včetně vztahu s jednotlivými dodavateli. Zákon o kybernetické bezpečnosti tuto povinnost převezme, jakmile vstoupí v platnost; do té doby se otázka již může vyskytnout, protože zákazník sám již spadá pod směrnici a prosazuje ji v řetězci, i když sami nejste subjektem NIS2.