dotazník se ptá, jak kontrolujeme kybernetickou bezpečnost našich vlastních dodavatelů

Bezpečnost v dodavatelském řetězci: co si zákazník přesně přeje vědět

Tato otázka se týká článku 21 odst. 2 písm. d směrnice NIS2: zabezpečení dodavatelského řetězce, včetně vztahu s jednotlivými dodavateli. Zákazník se tedy chce dozvědět nejen, zda jste sami bezpeční, ale zda to požadujete a kontrolujete i u vašich dodavatelů. Konkrétně dotazník obvykle hledá tři věci: zda máte požadavky na bezpečnost zakotvené v smlouvách s dodavateli, zda dodavatele hodnotíte dříve, než je angažujete, a zda je opakovaně přehodnocujete. Odpověď typu "věříme svým dodavatelům" pro toto pole není důkazem — za ní musí stát nějaký proces.

Máte-li takový proces, důkazem je obvykle politika dodavatelů nebo klauzule ve standardní smlouvě, případně doplněné přehledem provedených hodnocení. Pokud to nemáte, pak je zde "ne" upřímnou odpovědí — vyplňování na základě předpokladu nevede k "ano", protože dossier na to nemá zdroj. Toto téma souvisí s dalším polem v tomtéž dotazníku: zda podnik klade na své vlastní dodavatele požadavky na bezpečnost je často otázka kladená zvlášť, ale důkaz se překrývá s tím, co se zde ptáme. Relevantní je také to, zda vaše vlastní analýza rizik zahrnuje dodavatele jako samostatnou kategorii rizika; to se váže na politiku analýzy rizik a bezpečnosti informací které se dotazují jinde v seznamu.

Důvod: článek 21 odst. 2 a příloha A

Povinnost vyplývá z článku 21 odst. 2 písm. d směrnice (EU) 2022/2555, která uvádí bezpečnost dodavatelského řetězce jako jednu z deseti povinných opatření. Norma ISO/IEC 27001 to rozpracovává v příloze A v rámci kontrolních opatření pro vztahy se subdodavateli: rozlišuje se mezi požadavky na začátku vztahu a pravidelným monitoringem. Pro české podniky platí stejná povinnost v zákoně o kybernetické bezpečnosti, který vstupuje v platnost 15. srpna 2026 jako transpozice NIS2. Zda se tato povinnost vztahuje na vaš podnik samotný, závisí na tom, zda spadáte pod směrnici; to je jiná otázka než to, co se zde dotazuje, a je vysvětleno zvlášť při zda se podnik sám podřizuje NIS2.