Dotazník se ptá, jak mapujeme rizika v naší dodavatelské síti

Rizika v řetězci se týkají dvou různých otázek

Otázka o rizicích v dodavatelském řetězci se v praxi ptá na dvě věci zároveň, a seznam otázek často toto rozlišení nedělá explicitně. Za prvé: má podnik sám přehled o rizicích, která přicházejí přes jeho vlastní dodavatele a poskytovatele služeb — pomysleme na poskytovatele IT služeb s přístupem k síti nebo softwarovou součást od třetí strany. Za druhé: klade podnik nároky těmto dodavatelům a kontroluje je. Tento druhý bod se překrývá s otázkou, zda podnik stanoví svým vlastním dodavatelům požadavky na bezpečnost — často se jedná doslova o stejnou otázku, kterou je v seznamu položena jinde s jinými slovy.

Kdo je certifikován podle ISO/IEC 27001, může obvykle odkázat na kontrolní opatření pro vztahy s dodavateli z Přílohy A — ta jsou specificky určena pro tuto část, a auditor je již posoudil. Bez certifikátu není odpověď automaticky "ne": relevantní je, zda existuje analýza rizik, v níž jsou dodavatelé zahrnuti jako bod pozornosti, a to i když je neformální. To odpovídá širší otázce na politiku analýzy rizikkde jsou rizika v řetězci typicky kapitolou, nikoli samostatným dokumentem. Pokud není nic zdokumentováno, pak je "ne" upřímná odpověď — předstírat "ano" bez toho, aby za ním stála analýza rizik, smluvní klauzule nebo přehled dodavatelů, neobstojí, pokud si klient vyžádá doklad.

Odkud to pochází: článek 21 odst. 2 NIS2

Bezpečnost řetězce je uvedena jako samostatná součást v článku 21 odst. 2 směrnice NIS2 mezi deseti opatřeními tam uvedenými. Pro koho má samotného povinnost podle směrnice — nebo později podle Zákona o kybernetické bezpečnosti, české transpozice, který vstoupí v platnost 15. srpna 2026 — jde o nepovinnou součást, ale o jedno z povinných opatření. Komu by to neplatilo, ale otázku od klienta dostane, je to obvykle přeposlání stejné povinnosti: klient musí sám prokázat, že řídí svůj řetězec, a proto se ptá.