Zákazník se ptá, jak řídíme přístup externích dodavatelů

Přístup pro externí dodavatele je součástí článku 21 odst. 2

Tato otázka se týká toho, jak spravujete přístup třetích stran do vašich systémů a dat, a to se týká dvou z deseti opatření z článku 21 odst. 2 direktyvy NIS2 zároveň: bod (i), zásada kontroly přístupu, a bod (d), bezpečnost dodavatelského řetězce vůči dodavatelům. Zákazník tedy nechce vědět pouze, zda mají externí strany přístup, ale také to, jak je tento přístup vymezen, kdo jej uděluje a odnímá, a zda je tento proces zdokumentován. Odpověď typu "dodavatelé získávají přístup pouze po schválení" je příliš vágní bez vysvětlení, jak schvalování probíhá a jak často se přezkoumává.

Co konkrétně potřebujete: popis procesu autorizace pro externí účty, pokud možno s uvedením principu nejnižší privilege (přístup omezený na to, co je nezbytné) a období, ve kterém se přístup přezkoumává nebo odnímá po skončení úkolu. Pokud tento proces chybí, pak je "ne" zde upřímnou odpovědí — sugestivní "ano" bez podkladového dokumentu vám při kontrole zákazníka přinese více škody než "ne" s vysvětlením, že zásada je ve vývoji. Toto téma se překrývá s politikou přístupu a správou firemních aktivkde se řeší širší struktura autorizace, a s otázkou, zda podnik klade požadavky na své vlastní dodavateleprotože správa externího přístupu je v praxi často součástí stejné zásady dodavatelského řetězce.

Kde se to nachází: článek 21 odst. 2, body (d) a (i)

Článek 21 odst. 2 Směrnice (EU) 2022/2555 uvádí pod (i) "zásady kontroly přístupu" jako jedno z deseti povinných opatření a pod (d) zabezpečení dodavatelského řetězce včetně vztahu s dodavateli — externí přístup spadá pod obojí. V ISO/IEC 27001 Příloha A jsou odpovídající bezpečnostní opatření pro správu přístupu a pro vztahy s dodavateli zpracovány na úrovni kontrol, což vysvětluje, proč zákazník často žádá o specifické číslo kontroly z Přílohy A místo samotného textu směrnice. U společností spadajících pod nizozemskou transpozici se tato povinnost objevuje v Zákoně o kybernetické bezpečnosti, který vstoupí v platnost 15. srpna 2026.